El grupo de extorsión ShinyHunters utilizó una vulnerabilidad zero-day en Oracle PeopleSoft para robar datos, afectando principalmente a universidades, incluyendo la de Nottingham. El fallo permite la ejecución remota de código sin necesidad de autenticación, facilitando el acceso total al servidor. Mandiant recomienda restringir el acceso externo al Environment Management Hub y aplicar los parches de Oracle para mitigar el riesgo.



El grupo de extorsión ShinyHunters explotó un fallo no parcheado en Oracle PeopleSoft para irrumpir en sistemas empresariales, robar datos y exigir pagos para mantenerlos privados. La campaña afectó con mayor dureza a las universidades.

Mandiant de Google atribuye esto al grupo que rastrea como UNC6240, y sitúa la actividad entre el 27 de mayo y el 9 de junio. Oracle no publicó su aviso hasta el 10 de junio, por lo que el error fue un zero-day durante todo ese tiempo.

El fallo, CVE-2026-35273, es un error de ejecución remota de código en PeopleSoft Enterprise PeopleTools calificado con 9.8 sobre 10. No requiere inicio de sesión ni interacción del usuario, solo acceso a la red a través de HTTP para tomar el control del servidor. Si ejecutas PeopleSoft con el Environment Management Hub accesible desde el exterior, esa es tu exposición, y la medida inmediata es bloquear esos endpoints.

La vulnerabilidad se encuentra en el componente Updates Environment Management, la pieza detrás del Environment Management Hub (PSEMHUB). Oracle indica que PeopleTools 8.61 y 8.62 están afectados y afirma que las versiones anteriores, sin soporte, probablemente también sean vulnerables. Atribuye el informe a investigadores de TrendAI Zero Day Initiative y TrendAI Research.

El CTO de Mandiant, Charles Carmakal, confirmó que el error está siendo explotado en el mundo real; Oracle no ha dicho si ha detectado explotaciones. Su aviso remite a un documento de disponibilidad de parches tras un inicio de sesión de soporte, y no está claro si existe una corrección completa ampliamente disponible. Por ahora, la guía se centra en la mitigación.

Detalles operativos

Los detalles operativos se hicieron públicos porque los atacantes dejaron expuestas sus propias herramientas. El investigador @nahamike01 señaló públicamente los directorios abiertos. Mandiant analizó entonces cinco direcciones IP secuenciales que ejecutaban el servidor SimpleHTTP de Python en el puerto 8888. Esos servidores exponían los archivos de despliegue: un .bash_history compartido, agentes de gestión remota MeshCentral personalizados disfrazados de binarios de Microsoft Azure y un script de movimiento lateral.

Los agentes se comunicaban con un servidor de comando y control en azurenetfiles.net, un dominio elegido para parecerse a Azure NetApp Files. El script, llamado [victim]_fanout.sh, se propaga a través de SSH rociando una lista predefinida de nombres de usuario y contraseñas contra hosts internos extraídos de /etc/hosts, y luego deposita un archivo marcador llamado README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT en los directorios de PeopleSoft. El historial de comandos muestra los datos comprimidos con zstd y una conexión SSH saliente al servidor que aloja el espejo público del sitio de filtraciones de ShinyHunters.

Mandiant notificó a más de 100 organizaciones cuyas direcciones IP coincidían con endpoints vulnerables. El sesenta y ocho por ciento pertenecía a la educación superior, la mayoría en los Estados Unidos. Algunos bloquearon la actividad; otros fueron comprometidos y sus datos fueron publicados en el sitio de filtraciones.

La Universidad de Nottingham es una de las primeras víctimas confirmadas. Have I Been Pwned ha contabilizado unas 455.000 direcciones de correo electrónico únicas en el conjunto filtrado, que abarca a estudiantes actuales y antiguos alumnos, con nombres, direcciones, números de teléfono, números de pasaporte y detalles sobre etnia y discapacidades. La universidad ha confirmado la brecha.

La recomendación de Oracle es desactivar el servicio Environment Management Hub en configuraciones de varios servidores, o eliminar directamente la aplicación PSEMHUB en configuraciones de un solo servidor. Si no puedes hacer ninguna de las dos cosas, bloquea el acceso externo a /PSEMHUB/* (especialmente /PSEMHUB/hub) y /PSIGW/HttpListeningConnector en el perímetro.

Mandiant advierte que las reglas de inspección de cuerpo de WAF por sí solas no son suficientes, ya que pueden ser eludidas. Restringir estos endpoints no interrumpe las sesiones normales de los usuarios.

Búsqueda de compromiso

Luego busca señales de un compromiso existente:

* Registros de acceso de WebLogic que muestren solicitudes POST externas a /PSEMHUB/hub o /PSIGW/HttpListeningConnector.
* Archivos .jsp inesperados bajo el directorio de la aplicación web PSEMHUB.war, o carpetas extrañas llamadas logs, persistantstorage o scratchpad bajo las rutas de PSEMHUB.
* Archivos .xml modificados recientemente bajo envmetadata/data/environment de la raíz de documentos web, que pueden ser abusados para persistencia XMLDecoder que se activa en el siguiente reinicio.
* Tráfico SMB saliente en el puerto 445 desde hosts de PeopleSoft hacia destinos externos, que la cadena de explotación puede usar para capturar hashes NetNTLM de cuentas de máquina.

Aplica la actualización de Oracle para tu versión de PeopleTools una vez que confirmes que está disponible en My Oracle Support.

ShinyHunters dice que el contacto con las víctimas acaba de comenzar y no ha publicado a la mayoría de las organizaciones que reclama, por lo que es probable que aparezcan más nombres.

El método es la señal más clara. ShinyHunters se ha apoyado últimamente en el vishing, tokens robados y controles de acceso débiles para robar datos de plataformas SaaS y educativas. Un zero-day en el servidor de un software ERP local es un paso más allá, dirigido a los mismos objetivos ricos en datos.

La pregunta abierta es si se trató de un zero-day prestado puntual o del inicio del movimiento de ShinyHunters hacia la explotación de ERP.

Fuente:
THN