A gangue de extorsão ShinyHunters voltou a explorar em larga escala uma falha no Oracle PeopleSoft, usando uma técnica de codificação de URL para contornar regras de firewall de aplicação web (WAF) que bloqueavam o acesso ao endpoint vulnerável. Segundo relatório do Google Mandiant e do Threat Intelligence Group (GTIG), o grupo conseguiu atingir novamente servidores que não aplicaram as atualizações de segurança e que tentaram mitigar o risco bloqueando o acesso ao endpoint PSEMHUB.
Codificação de caractere contorna regras de firewall
A técnica consiste em substituir a letra “P” por sua versão codificada em percentual. Em vez de enviar requisições para /PSEMHUB/, os atacantes usam /%50SEMHUB/, onde “%50” representa a letra “P”. A Mandiant explica que muitos firewalls e proxies reversos comparam o caminho literal da requisição antes de decodificá-lo, fazendo com que regras criadas para bloquear “/PSEMHUB/” não detectem a versão codificada. O Oracle WebLogic, por sua vez, decodifica o “P” e encaminha a requisição ao endpoint vulnerável, contornando a regra do WAF. “Isso permite que o ator de ameaça alcance o endpoint em sistemas cujos operadores podem ter acreditado que suas regras de WAF haviam mitigado a exposição”, explica a Mandiant. O Google alerta que o ShinyHunters pode variar a codificação e usar outras formas de representar o caminho para burlar firewalls.
Recomendação é aplicar a correção, não confiar no WAF
A orientação da Mandiant é que as organizações instalem a atualização de segurança mais recente para se protegerem contra a CVE-2026-35273, em vez de dependerem apenas do firewall de aplicação. Também é recomendado buscar nos logs de acesso do WebLogic por requisições a “/PSEMHUB/” e variantes codificadas como “/%50SEMHUB/”, para detectar sinais de exploração.
Ataques instalam web shells e backdoors
A nova onda de ataques implantou web shells em dezenas de sistemas pelo mundo, em organizações de ensino superior, tecnologia, serviços de TI, saúde, agricultura, transportes e governo. Antes de explorar a falha, os atacantes costumam enviar entre cinco e 15 requisições POST para /%50SEMHUB/hub contendo objetos Java serializados. Em sistemas vulneráveis, essas requisições retornam informações sobre o sistema operacional do host sem gravar arquivos ou interromper o serviço, permitindo ao grupo verificar se o servidor pode ser explorado silenciosamente. Uma vez confirmada a vulnerabilidade, os atacantes executam comandos diretamente na memória ou implantam web shells JSP. O Google afirma que os invasores usam um shell “x.jsp” para execução de comandos e shells “u.jsp” e “u2.jsp” para upload de arquivos maiores.
Backdoor SIDEEYE e movimento lateral
Em servidores Windows comprometidos, o ShinyHunters usou esses shells para implantar um executável chamado “Ple64.exe”, que se disfarça como um instalador assinado do reprodutor de mídia Light Alloy, mas instala um backdoor rastreado pelo Google como SIDEEYE. O malware é usado para roubar credenciais, gerenciar processos e arquivos, criar shells reversos interativos e fornecer funcionalidade de proxy reverso. Os atacantes também implantaram o kit de tunelamento de código aberto Neo-reGeorg por meio dos arquivos “tunnel.jsp” e “tunnel.jspx”, que permite tunelar tráfego de proxy SOCKS5 sobre conexões HTTP e HTTPS normais, usando o servidor PeopleSoft comprometido para se espalhar lateralmente na rede interna. A Mandiant também observou o uso do software legítimo de gerenciamento remoto MeshAgent para manter acesso a sistemas Linux comprometidos.
Contexto de ataques anteriores ao FBI
Esses novos ataques vêm depois de o ShinyHunters afirmar ter invadido sistemas do FBI usando o que descreveu como uma nova vulnerabilidade de dia zero no Oracle PeopleSoft. O grupo disse em 22 de setembro que a suposta falha permitia execução remota de código e foi usada para acessar a plataforma FBI Jobs, espalhando-se depois para a infraestrutura AWS GovCloud do FBI. A gangue afirmou ter roubado entre 2 TB e 3 TB de dados relacionados a funcionários atuais e ex-funcionários, candidatos a empregos e outros sistemas internos. O FBI confirmou que investigava alegações de atividade não autorizada envolvendo o site FBIjobs.gov, mas não confirmou que seus sistemas foram violados ou que dados foram roubados. O ShinyHunters confirmou ter usado a burla de WAF contra o FBI Jobs, mas continua afirmando que também explorou uma “nova vulnerabilidade desconhecida no mesmo componente PSEMHUB”.
