حمله هکرها با دور زدن فایروال های وب برای سوءاستفاده از آسیب پذیری اوراکل و استقرار وب شل ها

به گزارش زوم تک از هکر نیوز، شرکت گوگل نسبت به موج جدید و گسترده ای از حملات سایبری هشدار داده است که طی آن، مهاجمان با سوءاستفاده از یک آسیب پذیری شناخته شده در نرم افزار اوراکل پیپل سافت (Oracle PeopleSoft)، بخش های مختلفی را در سراسر جهان هدف قرار داده اند.

موج جدید حملات سایبری برای سوءاستفاده از آسیب پذیری اوراکل

این فعالیت ها که به گروه شناخته شده شاین هانترز (ShinyHunters) مرتبط است، شامل بهره برداری از شناسه امنیتی CVE-2026-35273 با امتیاز حیاتی ۹.۸ در مقیاس CVSS است که امکان اجرای کد از راه دور را بدون نیاز به احراز هویت فراهم می کند.

دور زدن قوانین فایروال وب با ترفند انکودینگ URL

بر اساس گزارش واحد تهدیدات گوگل یعنی ماندیانت (Mandiant)، موج جدید این حملات ناشی از تغییراتی است که گروه مهاجم UNC6240 در اکسپلویت خود ایجاد کرده تا بتواند قوانین فایروال برنامه های کاربردی وب یا همان WAF را دور بزند. این فایروال ها به طور معمول نقطه پایانی آسیب پذیر هاب مدیریت محیط یا همان PSEMHUB را مسدود می کنند. مهاجمان توانستند با انکود کردن تنها یک کاراکتر در مسیر درخواست و استفاده از عبارت /%50SEMHUB/ به جای /PSEMHUB/، این قوانین مبتنی بر رشته را دور بزنند. بسیاری از ابزارهای WAF و پروکسی های معکوس مسیرهای متنی را پیش از دیکود کردن بررسی می کنند، اما سرور برنامه پیپل سافت درخواست را دیکود کرده و آن را به سمت سِروِلت آسیب پذیر هدایت می کند.

گستردگی اهداف و زنجیره پیچیده حملات سایبری

اهداف این دور از حملات طیف وسیعی از سازمان ها شامل مراکز آموزش عالی، شرکت های فناوری، خدمات آی تی، مراقبت های بهداشتی، کشاورزی، حمل و نقل و بخش های دولتی را در بر می گیرد و مهاجمان موفق شده اند روی ده ها سیستم مختلف وب شل مستقر کنند. زنجیره کامل این حمله شامل شناسایی اهداف از طریق ارسال درخواست های POST حاوی شیء جاوا، دور زدن قوانین WAF با استفاده از نسخه انکود شده کاراکتر P، سوءاستفاده از ناامنی در سریال سازی جاوا برای استقرار وب شل و اجرای فرمان های سیستمی بدون نیاز به فایل است. مهاجمان همچنین فایل های مخرب و بدافزارهای گوناگون از جمله بک دور C++ را برای سرقت اطلاعات حساب های کاربری و مدیریت فایل ها به کار می گیرند.

راهکارهای مقابله و ایمن سازی سیستم ها

برای مقابله با این تهدید جدی، سازمان ها ملزم هستند هر چه سریع تر نسبت به اعمال وصله های امنیتی برای آسیب پذیری مذکور اقدام کنند. غیرفعال کردن سرویس هاب مدیریت محیط در پیکربندی های چند سرور یا حذف کامل برنامه PSEMHUB در سیستم های تک سرور، بررسی لاگ های دسترسی وب لاجیک برای یافتن درخواست های مشکوک، بازرسی دایرکتوری مربوطه برای کشف وب شل های جی اس پی و تغییر اعتبارنامه های حساس از جمله اقداماتی است که مدیران امنیت شبکه باید برای حفاظت از زیرساخت های خود انجام دهند.