ShinyHunters svoj ultimatum FBI-ju sada zovu „marketinškom kampanjom“
ShinyHunters su ultimatumom zahtevali od FBI-ja da povuče majsko upozorenje u kome piše da grupa pritiska žrtve pretnjama i preuveličava svoja dostignuća. Pred istek roka od nedelju dana sada poručuju da se posle njega neće desiti ništa. Novinarima 404 Media i Hackreada rekli su da ukradene podatke nikad nisu ni nameravali da objave i da je ultimatum bio „marketinška kampanja“. Izjave su, navodno, sročili tako da nigde ne stoji konkretna pretnja. Šteta od upada je, međutim, stvarna. FBI je u internom dopisu, o kojem je pisao New York Times, pošao od toga da su ukradeni lični podaci svih zaposlenih i savetuje ih da na govornoj pošti ne ostavljaju svoje glasove zbog mogućih deepfake manipulacija. Reuters je proverio niz dokumenata iz uzorka koji je grupa podelila novinarima i utvrdio da podaci jesu autentični: u njima se nalaze psihijatrijske procene i medicinski nalazi svojstveni procenama najpoznatijeg federalnog biroa na svetu. Holandska policija je 28. septembra potvrdila da je, još nedelju dana pre upada u FBI, u Amsterdamu uhapsila 24-godišnjaka za koga se sumnja da je jedan od vođa ShinyHunters grupe. Sama grupa, naravno, to negira i odbacuje. Prema FBI-ju, grupa i njeni saradnici su od prošle godine provalili u više od 140 organizacija i naplatili najmanje 70 miliona dolara, a šef sajber odeljenja Brett Leatherman poručio je ostalim njenim članovima: „Vi znate kako da nađete nas, ali i mi znamo kako da nađemo vas.“
Za nas je u celoj priči ko je veći badža bitno nešto drugo. Mandiant je 25. septembra opisao novu kampanju protiv PeopleSofta, Oracle-ovog sistema u kojem velike organizacije vode kadrove i plate. Propust u njemu ShinyHunters grupa koristi od kraja maja, a Oracle je zakrpu objavio 10. juna. Deo organizacija koji je nije instalirao, ispred svojih sistema je postavio filter koji odbija svaki zahtev sa rečju PSEMHUB u adresi, što je tada bila preporučena, ali privremena mera. Grupa sada u adresu umesto slova P unosi %50, što je isto slovo, ali ispisano kodom. Filter tu foru ne prepoznaje, server kodni prikaz prevodi nazad u slovo P i zahtev propušta do ranjivog dela platforme. Prema Mandiantu, grupa se prilagodila objavljenim uputstvima za odbranu i gađa i one koji su postavili filter, a zakrpu nisu primenili. Da li je grupa tako ušla i u FBI-jev portal za zapošljavanje, koji radi na PeopleSoftu, Mandiant ne navodi u svom saopštenju. Privremena mera kupuje vreme do zakrpe, ali je ne zamenjuje: ko je ostao samo na filteru, bio je zaštićen samo nakratko.
- Ako koristiš Oracle PeopleSoft, instaliraj Oracle-ovu zakrpu za CVE-2026-35273, a servis Environment Management Hub (PSEMHUB) isključi ili ukloni ako ti ne treba
- U logovima WebLogic servera potraži zahteve ka /PSEMHUB/ i kodirane varijante poput /%50SEMHUB/, a u folderu PSEMHUB.war neočekivane fajlove x.jsp, u.jsp i tunnel.jsp
- Ako je sistem bio izložen bez zakrpe, promeni lozinke i ključeve do kojih dolazi PeopleSoft servisni nalog i proveri da li je negde podignut MeshAgent za daljinski pristup
- Pravila u zaštitnom filteru podesi tako da adresu proveravaju tek pošto je dekodiraju, a svakoj privremenoj meri odredi rok do kog je zamenjuje zakrpa
- Zaposlene čiji su podaci kompromitovani pripremi na lažne pozive i poruke, i dogovori da se hitni zahtevi proveravaju preko drugog kanala komunikacije