Oracle phát hành thông báo bảo mật cho biết phần mềm doanh nghiệp PeopleSoft của họ tồn tại một lỗ hổng nghiêm trọng, cho phép kẻ tấn công khai thác trực tiếp qua internet mà không cần thông tin xác thực như mật khẩu. Ngay ngày trước khi phát hành thông báo, nhóm tin tặc ShinyHunters tuyên bố đã lợi dụng lỗ hổng này để xâm nhập vào hơn 100 tổ chức sử dụng máy chủ PeopleSoft.
Mandiant xác nhận đã bị khai thác
Phòng an ninh mạng Mandiant thuộc Google cho biết trên blog rằng lỗ hổng Oracle vừa được tiết lộ chính là lỗ hổng mà ShinyHunters đã sử dụng trong các cuộc tấn công quy mô lớn nhắm vào khách hàng PeopleSoft.
Oracle không phát hành bản vá cùng lúc với thông báo. Tính theo thời gian công bố tin tức, lỗ hổng liên quan vẫn chưa được sửa. Vì nhà sản xuất chưa hoàn thành việc vá trước khi lỗ hổng được phát hiện và khai thác, các vấn đề như vậy thường được gọi là “lỗ hổng zero-day”.
Hơn 100 tổ chức đã nhận được cảnh báo
Mandiant cho biết đã thông báo cho hơn 100 tổ chức toàn cầu để cảnh báo họ hạn chế truy cập vào các hệ thống có thể dễ bị tổn thương. Phần lớn các tổ chức này nằm tại Hoa Kỳ, khoảng hai phần ba đến từ lĩnh vực giáo dục đại học.
- Số lượng tổ chức đã được thông báo: hơn 100 tổ chức
- Khu vực phân bố chính: Chủ yếu tại Hoa Kỳ
- Tỷ lệ sinh viên đại học: khoảng hai phần ba
Điều này cơ bản nhất quán với những gì ShinyHunters đã tuyên bố trước đó. Các thành viên của tổ chức này tuần này cho biết TechCrunch rằng một số nạn nhân là các trường đại học và cao đẳng. Mandiant cũng cho biết một số tổ chức đã thành công trong việc ngăn chặn các cuộc tấn công hoặc khắc phục lỗ hổng, nhưng cũng có các tổ chức đã bị xâm phạm, và dữ liệu bị đánh cắp sau đó xuất hiện trên trang web rò rỉ của ShinyHunters.
Mục tiêu của cuộc tấn công tập trung vào người dùng phần mềm
Bài báo cho biết, ShinyHunters trong gần một năm qua đã nhắm mục tiêu vào nhiều nhà cung cấp phần mềm và khách hàng của họ, bao gồm các tổ chức sử dụng sản phẩm của Salesforce, Gainsight và công ty phần mềm giáo dục Instructure.
Hành động phổ biến là tìm kiếm phần mềm có lỗ hổng và người dùng tương ứng, sau đó đánh cắp dữ liệu doanh nghiệp hoặc khách hàng, rồi đe dọa công khai dữ liệu để đòi tiền chuộc từ nạn nhân. Đầu năm nay, Instructure từng cho biết rằng sau hai lần hệ thống bị xâm nhập, công ty đã trả tiền cho tin tặc.