Злоумышленники обходят WAF при атаках на Oracle PeopleSoft
По данным Google Mandiant, группировка UNC6240 изменила эксплуатацию критической уязвимости CVE-2026-35273: для обхода правил веб-защиты она кодирует один символ в пути запроса. На скомпрометированных серверах атакующие размещают веб-шеллы и средства для закрепления в системе.
Google Mandiant предупредила о массовой эксплуатации критической уязвимости CVE-2026-35273 в Oracle PeopleSoft. Как сообщает The Hacker News, активность связывают с ShinyHunters и кластером UNC6240. Атаки затрагивают организации в разных странах и отраслях, включая образование, технологии, здравоохранение, транспорт и государственный сектор.
Уязвимость с оценкой CVSS 9,8 может привести к удалённому выполнению кода без аутентификации. В текущей кампании атакующие адаптировали эксплойт для обхода правил WAF, которые блокируют обращения к уязвимому компоненту Environment Management Hub — PSEMHUB. Вместо обычного пути /PSEMHUB/ они используют /%50SEMHUB/: %50 — URL-кодировка буквы P. По данным Mandiant, многие WAF и обратные прокси сопоставляют путь до его декодирования, тогда как сервер приложений PeopleSoft декодирует запрос и передаёт его уязвимому сервлету.
Атака начинается с POST-запроса к /%50SEMHUB/hub с сериализованным Java-объектом. Эксплуатация десериализации Java позволяет разместить веб-шеллы и выполнять команды без сохранения основного полезного кода на диске. На десятках систем были развёрнуты JSP-веб-шеллы: x.jsp предназначен для выполнения команд на разных платформах, а u.jsp — для загрузки файлов частями и запуска команд через cmd.exe.
Через u.jsp злоумышленники загружали подписанный троянизированный установщик Ple64.exe. Он загружает в память бэкдор SIDEEYE, написанный на C++; тот связывается с внешним сервером по TCP и может похищать учётные данные из браузеров и настольных приложений, управлять процессами и файлами, а также предоставлять обратную оболочку и прокси. Кроме того, атакующие разместили туннелирующий инструмент Neo-reGeorg. Для закрепления после размещения веб-шеллов на Linux-системах UNC6240 использовала легитимное средство удалённого управления MeshAgent.
Около четверти команд в этой активности, по данным Google, выполнялись с правами root или NT AUTHORITY\SYSTEM. Остальные запускались от имени сервисных учётных записей PeopleSoft или WebLogic. Такой уровень доступа даёт атакующим полный контроль над операционной системой в части скомпрометированных случаев.
Mandiant рекомендует установить исправления для CVE-2026-35273, отключить EMHub в многосерверных конфигурациях либо удалить приложение PSEMHUB в односерверных. Также организациям советуют искать в логах WebLogic обращения к /PSEMHUB/ и его вариантам с процентным кодированием, проверить каталог PSEMHUB.war на JSP-веб-шеллы, сменить учётные данные, доступные сервисной учётной записи PeopleSoft, и проанализировать исходящий трафик с серверов PeopleSoft.
По оценке Google, UNC6240 ранее применяла схему вымогательства с кражей данных: жертвам угрожают публикацией информации, если они не заплатят выкуп. Поэтому затронутым организациям также рекомендуют быть готовыми к подобным обращениям и следить за возможной публикацией похищенных данных.