ShinyHunters prý pronikli do FBI přes zero-day v PeopleSoft — zatím je to tvrzení, ne CVE ani pravda

Špatná praxe
1

Neglekt + zero-day = data theft. Když si někdo nechá běžet firmwar a administrátory, integrace i celý produkt na veřejném internetu jen „protože funguje", není to bezpečnostní postoj — je to pozvánka. A právě FBI si takovou pozvánku podle ShinyHunters dovolila odevzdat do schránky.

Co tvrdí skupina. V úterý 22. září zveřejnila skupina ShinyHunters na svém leak webu tvrzení, že má citlivá data téměř všech agentů FBI i lidí, kteří se u úřadu ucházeli o práci — podle odhadu zhruba 5 000 záznamů. V detailu: TechCrunch.

Vstupním bodem byl náborový portál FBI — apply.fbijobs.gov. Podle zveřejněných snímků jej stránky jen krátce zobrazily vlastní banner skupiny a poté přešly do režimu údržby. Zdroj: Cybersecurity Insider.

Podle BleepingComputer skupina v pondělí v noci objevila novou zero-day zranitelnost v Oracle PeopleSoft a ihned ji zneužila ke spuštění kódu na serveru FBI. Cíl bylo pak přesunout do prostředí AWS GovCloud, kam podle tvrzení měla být odnesena data objemem 2 až 3 TB.

Kolik je na tom pravdy. Zatím není jasné nic. FBI potvrdila jen to, že o tvrzeních týkajících se domény FBIjobs.gov ví a vyšetřuje je — víc si nechala pro sebe. Reuters vzorek údajně zkoumala, shody podle ní nejméně v deseti případech (mezi nimi u ředitele FBI Kashie Patela) se s dalšími záznamy našla, ale shoda sama o sobě nedokazuje původ dat přímo z FBI. Klíčové: Reuters přes Benzingu.

Údajná zranitelnost navíc zatím nemá CVE a Oracle ji formálně nepotvrdila. Kdo argumentuje „ale funguje to", dostává tady zadní kop — PeopleSoft je enterprise systém, jehož admin komponenta (Environment Management Hub, aplikace PSEMHUB) se přesně takto chová jako otevřená vrata: ověřit nasazení, ne čekat.

Motiv je stejně divný jako průnik. ShinyHunters tvrdí, že útok není finančně motivovaný — chtějí jen to, aby FBI stáhlo květnové varování popisující metody skupiny a radící obětem neplatit poplatek. Důvod: úřad v něm据 skupiny spojila s obtěžováním rodin obětí a swattingem. Obvinění odmítají, splnit požadavek daly úřadu týden; zda data zveřejní, pokud FBI neustoupí, dosud komentovat odmítla. Zdroj motivu: Axios.

Nejde o první pokus. Během červnové kampaně proti PeopleSoft, která zasáhla přes sto organizací, převážně univerzity, skupina později prozradila, že jejím původním cílem byl právě server FBI. Tehdy neuspěla. Tentokrát to podle ní vyšlo přes stejnou komponentu — Environment Management Hub. A přišlo jen pár dní poté, co ShinyHunters převzali leak web ransomwarového gangu Clop a začali vydírat samotné vyděrače. Zdroj: Infosecurity Magazine a BleepingComputer — Clop.

Proč je to špatná praxe. Zero-day v PeopleSoft není žádný zázrak APT — je to důsledek toho, že masivně nasazovaný enterprise software se nechává běžet bez monitoringu, bez auditu a s administrátorskými rozhraními přímo na internetu. Experti teď radí: ověřit nasazení červnové opravy, vypnout Environment Management Hub nebo odebrat aplikaci PSEMHUB, stáhnout administrační i integrační rozhraní z internetu a aktivně hledat stopy průniku — místo aby se čekalo na signaturu zatím nepopsané zranitelnosti. Infosecurity Magazine.

Neo Punker pravidla: Kdo nechá „fungující" legacy software s admin rozhraním na internetu a čeká, až na to někdo zapíše, dostane zadání — sundat to. Shoda dat nedokazuje původ. Zero-day bez CVE je jen chyba v čase — oprava přichází, až to hoří.



Zdroje (ověř si sám):

P.S. Shoda deseti záznamů s jinými daty nic nenaznačuje o tom, kam data vlastně vedla — jen dokazuje, že FBI není první cíl, na který si někdo dovolí odevzdat pozvánku v podobě zanedbaného software.



Tags: #zero-day #peoplesoft #fbi-breach #data-theft #shinyhunters #cve #neglekt #legacy-software #neo-punker #incident-response

Punk is not death. Funguje ≠ bezpečné. A data theft není hakování — je to důsledek, že se něco nechalo zapomenout.