بحران امنیتی در اوراکل

گروه سایبری ShinyHunters با سوءاستفاده از یک آسیب‌پذیری زیرودی در نرم‌افزار PeopleSoft اوراکل، اطلاعات ده‌ها شرکت بزرگ و دانشگاه را به سرقت برد. اوراکل با تأیید این حمله، از مشتریان خود خواست تا پیش‌از انتشار پچ رسمی، فورا اقدامات پیشگیرانه را اعمال کنند.

اوراکل روز پنجشنبه، درست یک روز پس‌از آنکه گروه هکری ShinyHunters مسئولیت یک کمپین نفوذ گسترده را برعهده گرفت، یک توصیه‌نامه‌ی امنیتی بحرانی برای مشتریان سازمانی خود منتشر کرد. نرم‌افزار PeopleSoft که توسط شرکت‌های بزرگ برای مدیریت حقوق و دستمزد و منابع انسانی استفاده می‌شود، اکنون به پاشنه‌ی آشیل این سازمان‌ها تبدیل شده است.

شرکت امنیتی مندیانت (Mandiant - زیرمجموعه‌ی گوگل) در گزارشی تأیید کرد که این آسیب‌پذیری، دقیقاً همان باگی است که هکرها در کمپین اخیر خود برای هدف قرار دادن مشتریان PeopleSoft از آن بهره می‌برند. اوراکل هنوز پچ رسمی (Patch) برای این باگ منتشر نکرده، اما هشدار داده است که مهاجمان می‌توانند بدون نیاز به هیچ‌گونه احراز هویتی (Authentication) و از طریق اینترنت، سیستم‌ها را اکسپلویت کنند.

مندیانت می‌گوید حدود دوسوم از سازمان‌های هک‌شده در این کمپین، دانشگاه‌ها و مؤسسات آموزش عالی در ایالات متحده هستند.

یکی از اعضای ShinyHunters روز چهارشنبه در گفتگو با تک‌کرانچ اعلام کرد که این گروه با اکسپلویت یک باگِ پچ‌نشده به سرورهای PeopleSoft نفوذ کرده است. این آسیب‌پذیری از نوع زیرودی (Zero-day) دسته‌بندی می‌شود؛ چراکه اوراکل پیش‌از کشف و سوءاستفاده‌ی هکرها، هیچ فرصتی برای شناسایی و برطرف‌کردن آن نداشته است.

مندیانت اعلام کرد که در تلاش برای مسدودسازی دسترسی مهاجمان، به بیش‌از «۱۰۰ سازمان جهانی» هشدار داده است. این تیم امنیتی می‌نویسد: «درحالی‌که برخی سازمان‌ها موفق شدند این فعالیت را مسدود کنند یا آسیب‌پذیری را کاهش دهند، سیستم‌های برخی دیگر با نفوذ مواجه شد که نتیجه‌ی آن، انتشار داده‌های سرقتی در وب‌سایت افشای اطلاعات ShinyHunters بود.» اوراکل تا این لحظه پاسخی به درخواست رسانه‌ها برای شفاف‌سازی نداده است.

هکرها در پیامی باج‌خواهانه که برای یکی از دانشگاه‌های قربانی ارسال کرده‌اند، مدعی سرقت داده‌های دموگرافیک و تحصیلیِ حساسی شده‌اند. بر اساس این ادعا، «صدها هزار پرونده‌ی دانشجویی شامل نام کامل، آدرس، شماره تماس، ایمیل، تاریخ تولد، جنسیت، نژاد و قومیت (Ethnicity)، وضعیت ثبت‌نام، معدل (GPA)، رشته و شماره دانشجویی» در تمام پردیس‌های دانشگاهی به سرقت رفته است.

این نخستین باری نیست که ShinyHunters با تمرکز بر یک نرم‌افزار سازمانیِ مشترک، کمپین‌های هک زنجیره‌ای به راه می‌اندازد. در یک سال گذشته، این گروه شرکت‌های متعددی را که از زیرساخت‌های Salesforce، Gainsight و غول فناوری آموزش Instructure استفاده می‌کردند، هدف قرار داده است.

تاکتیک این گروه کاملا سیستماتیک است: پس‌از شناسایی نرم‌افزارهای آسیب‌پذیر، داده‌های شرکتی یا اطلاعات مشتریان را به سرقت می‌برند و آن‌ها را به انتشار اطلاعات در صورت نپرداختن باج (Ransom) تهدید می‌کنند. اوایل امسال، شرکت Instructure تأیید کرد که پس‌از دو بار نفوذ به سیستم‌هایش و دی‌فیس (Deface) شدن صفحات لاگینِ پورتال محبوب Canvas در چندین مدرسه، مجبور به پرداخت باج به این هکرها شده است.