Servidores que utilizam o Oracle PeopleSoft estão sendo alvo de uma ampla campanha de roubo de dados atribuída ao grupo de extorsão ShinyHunters. A operação veio à tona após diversas organizações começarem a receber pedidos de resgate relacionados a supostos acessos não autorizados aos seus ambientes.
Segundo os criminosos, mais de 100 empresas e instituições tiveram informações comprometidas em aproximadamente 300 ambientes diferentes. Procurada para comentar o caso, a Oracle não se pronunciou sobre as alegações.
O que é o Oracle PeopleSoft?
O Oracle PeopleSoft é uma plataforma corporativa amplamente utilizada por grandes organizações para gerenciar processos críticos de negócios, incluindo recursos humanos, folha de pagamento, finanças, compras, cadeia de suprimentos e administração acadêmica.
Por concentrar grandes volumes de informações sensíveis, o sistema costuma ser um alvo atrativo para grupos especializados em invasões e extorsão digital.
Ataques combinam falhas conhecidas e possíveis zero-days
De acordo com informações divulgadas pelo site BleepingComputer, os ataques atingiram tanto ambientes hospedados em nuvem quanto servidores instalados dentro das próprias organizações.
As vítimas passaram a receber mensagens de extorsão assinadas pelo grupo ShinyHunters, conhecido por seu envolvimento em diversos vazamentos de dados de grande impacto nos últimos anos.
Os próprios criminosos assumiram a autoria da campanha e afirmam ter utilizado uma combinação de vulnerabilidades já conhecidas com falhas ainda não divulgadas publicamente, conhecidas como zero-days.
Segundo o grupo, a técnica empregada não funciona em todos os ambientes. O sucesso da invasão dependeria da configuração específica de cada instalação do PeopleSoft, o que explicaria por que algumas organizações foram comprometidas enquanto outras permaneceram protegidas.
Instituições de ensino estão entre os principais alvos
Entre os setores mais afetados estaria o de educação. Os criminosos afirmam ter comprometido diversas universidades e instituições de ensino que utilizam a plataforma.
Um dos casos mencionados foi o da Universidade de Nottingham, que confirmou recentemente a ocorrência de um incidente de segurança cibernética.
Os invasores também alegaram ter tentado comprometer um portal do FBI baseado em PeopleSoft. Segundo o grupo, o objetivo seria publicar uma mensagem dentro da plataforma. A tentativa, no entanto, não teria obtido sucesso.
Pesquisadores identificam infraestrutura utilizada na operação
Enquanto as investigações avançam, pesquisadores independentes começaram a encontrar evidências da operação na internet.
O pesquisador conhecido como Michael R identificou diretórios expostos contendo ferramentas, scripts e arquivos associados aos ataques.
Entre os componentes encontrados estavam agentes do MeshCentral, uma ferramenta legítima de administração remota frequentemente utilizada por equipes de TI, além de scripts desenvolvidos para espalhar mensagens de comprometimento e automatizar tentativas de acesso a servidores vulneráveis.
Segundo a análise, cinco servidores ligados à campanha apresentavam históricos de comandos praticamente idênticos, sugerindo uma operação coordenada.
Os registros indicam que os criminosos instalaram componentes do MeshCentral no final de maio e utilizaram infraestrutura anteriormente associada ao grupo ShinyHunters.
Script foi desenvolvido especificamente para ambientes PeopleSoft
Um dos elementos que mais chamou a atenção dos pesquisadores foi um script criado especificamente para ambientes Oracle PeopleSoft.
A ferramenta seria capaz de analisar a infraestrutura interna das organizações, localizar sistemas relacionados à plataforma e tentar autenticação utilizando contas administrativas frequentemente encontradas nesses ambientes.
Entre os usuários pesquisados pelo código estão contas normalmente utilizadas por administradores do Oracle e do PeopleSoft.
Caso as tentativas de autenticação por senha falhem, o script também procura utilizar chaves de acesso previamente configuradas nos servidores.
Após obter acesso, a ferramenta deposita uma nota de resgate em diretórios vinculados aos servidores web e de aplicação da plataforma. O arquivo recebe o nome:
README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT
A mensagem informa que o ambiente foi comprometido e orienta a vítima a entrar em contato com os responsáveis pelo ataque.
Operação demonstra conhecimento avançado da plataforma
Os registros analisados indicam que os invasores possuem conhecimento aprofundado da arquitetura do PeopleSoft.
Segundo os pesquisadores, o código utilizado é capaz de:
- Localizar credenciais armazenadas em arquivos de configuração;
- Mapear sistemas conectados ao ambiente;
- Identificar diferentes componentes da infraestrutura;
- Automatizar tentativas de autenticação;
- Facilitar a movimentação dentro da rede comprometida.
Além disso, foi identificado um portal utilizado para divulgar dados supostamente roubados durante a campanha.
No momento da descoberta, o site já continha informações atribuídas a mais de 20 organizações, algumas delas ainda não identificadas publicamente.
O que as organizações devem fazer agora
Especialistas recomendam que empresas e instituições que utilizam Oracle PeopleSoft realizem uma revisão imediata de seus registros de acesso e eventos de segurança.
A orientação inclui:
- Verificar conexões provenientes de endereços IP associados à campanha;
- Investigar atividades incomuns em servidores PeopleSoft;
- Revisar credenciais administrativas e políticas de autenticação;
- Analisar arquivos de configuração em busca de alterações suspeitas;
- Monitorar possíveis indicadores de comprometimento.
Caso sejam identificados sinais de invasão, a recomendação é iniciar imediatamente o processo de resposta a incidentes e considerar a remoção temporária dos servidores afetados da internet até que a investigação seja concluída.
Ameaça reforça importância da gestão de vulnerabilidades
O incidente demonstra como plataformas corporativas que concentram dados críticos continuam sendo alvos prioritários para grupos de extorsão digital.
Independentemente da confirmação de todas as alegações feitas pelos criminosos, especialistas destacam que manter sistemas atualizados, revisar configurações de segurança e monitorar continuamente os ambientes corporativos continua sendo uma das principais medidas para reduzir o risco de comprometimento.
