ShinyHunters 在 Oracle PeopleSoft 攻击中使用 WAF 绕过技巧

ShinyHunters 勒索团伙正在使用一种 URL 编码技巧来绕过用于缓解 Oracle PeopleSoft CVE-2026-35273 漏洞的 Web 应用防火墙规则，使该威胁行为者得以恢复对易受攻击服务器上这一漏洞的大规模利用。

Google 的 Mandiant 和威胁情报组 (GTIG) 表示，这一新技术使该威胁行为者能够再次攻击那些尚未应用安全更新、而是使用 WAF 阻止访问易受攻击的 PSEMHUB 端点的 PeopleSoft 服务器。

6 月 10 日，BleepingComputer 首次报道，ShinyHunters 勒索团伙正在利用一个零日漏洞攻击 Oracle PeopleSoft 服务器，使其得以从 100 个组织中窃取数据。

次日，Oracle 修复了该 PeopleSoft 零日漏洞，编号为 CVE-2026-35273，并表示该漏洞允许未经身份验证的远程代码执行。

Google 也在同一天报告称，其追踪为 UNC6240 的 ShinyHunters 正在对教育行业的攻击中利用 CVE-2026-35273 漏洞，证实了 BleepingComputer 的报道。

当时，Mandiant 建议无法立即安装安全更新或禁用 Environment Management Hub 的组织，阻止对易受攻击的 /PSEMHUB/* 端点的外部访问。

然而，Google 在一份新报告中表示，ShinyHunters 现已修改其攻击代码，以绕过查找该字面路径而非其编码版本的 WAF 规则。

例如，攻击者不发送请求至：

/PSEMHUB/
而是请求：

/%50SEMHUB/
'%50' 序列是字母 'P' 的百分号编码版本。

Mandiant 表示，许多 WAF 和反向代理会在解码之前比较字面请求路径，导致旨在拦截 '/PSEMHUB/' 的规则漏掉编码后的版本。

而 Oracle WebLogic 会对编码的 'P' 进行解码，并将请求路由到易受攻击的端点，从而绕过 WAF 规则。

"这使该威胁行为者能够触及那些运营者可能以为其 WAF 规则已缓解暴露风险的系统上的端点," Mandiant 解释道。

Google 警告称，ShinyHunters 可能不会始终使用 '%50' 这一绕过变体，并可能切换到其他百分号编码、大小写混合或其他 '/PSEMHUB/' 变体来绕过 WAF。

Mandiant 敦促组织不要依赖 Web 应用防火墙，而是安装最新安全更新以防范 CVE-2026-35273。

还建议组织在 WebLogic 访问日志中搜索对 '/PSEMHUB/' 及 '/%50SEMHUB/' 等编码变体的请求，以检测被利用的迹象。

WAF 绕过导致新一轮数据窃取攻击

Google 表示，这波新攻击已在高等教育、科技、IT 服务、医疗保健、农业、交通运输和政府组织的数十个全球系统上部署了 web shell。

"Mandiant 建议运行 Oracle PeopleSoft 的组织采取以下紧急措施。更多修复与加固指南见本文后续部分," Mandiant 警告道。

在尝试利用之前，攻击者通常向 /%50SEMHUB/hub 发送 5 到 15 个包含序列化 Java 对象的 POST 请求。

在易受攻击的系统上，这些请求会返回有关主机操作系统的信息，而不会写入文件或中断服务，使 ShinyHunters 能够判断一台服务器是否可以被悄悄利用。

一旦确定系统存在漏洞，该威胁行为者就会再次利用该漏洞，直接在内存中执行命令或部署 JSP web shell。

Google 表示，攻击者部署一个用于命令执行的 'x.jsp' web shell，以及用于上传较大文件的 'u.jsp' 和 'u2.jsp' shell。

在被入侵的 Windows 服务器上，ShinyHunters 利用这些 shell 部署了一个名为 'Ple64.exe' 的可执行文件，该文件伪装成经过签名的 Light Alloy 媒体播放器安装程序，但实际上会安装一个被 Google 追踪为 SIDEEYE 的后门。

SIDEEYE 恶意软件被用于窃取凭据、管理进程和文件、创建交互式反向 shell 以及提供反向代理功能。

该威胁行为者还通过 'tunnel.jsp' 和 'tunnel.jspx' 文件部署了开源的 Neo-reGeorg 隧道工具包。

该工具包允许将 SOCKS5 代理流量通过普通 HTTP 和 HTTPS 连接进行隧道传输，使被入侵的 PeopleSoft 服务器能够被用于向内部网络横向扩散。

Mandiant 还观察到 ShinyHunters 使用合法的 MeshAgent 远程管理软件来维持对被入侵 Linux 系统的访问。

ShinyHunters 此前声称握有一个新的 PeopleSoft 零日漏洞

这些新攻击发生之前，ShinyHunters 曾声称他们利用他们所称的一个新的 Oracle PeopleSoft 零日漏洞入侵了 FBI 系统。

ShinyHunters 在 9 月 22 日告诉 BleepingComputer，据称该漏洞允许远程代码执行，并被用于访问 FBI Jobs 平台，随后横向扩散至 FBI 的 AWS GovCloud 基础设施。

该团伙声称窃取了 2TB 至 3TB 与现任和前任 FBI 员工、求职者及其他内部系统相关的数据。

当时，BleepingComputer 无法独立核实所声称的零日漏洞、声称的横向移动或据报被窃取的数据量。

FBI 确认正在调查关于影响 FBIjobs.gov 的未授权活动的说法，但未确认其系统已被入侵或数据被窃取。

ShinyHunters 已向 BleepingComputer 确认，他们对 FBI Jobs 使用了这一 WAF 绕过手段，但继续声称他们还利用了 "同一 PSEMHUB 组件中新的未知漏洞"。