Киберпреступная группировка ShinyHunters заявила о масштабной атаке на корпоративное ПО Oracle PeopleSoft. Под удар попали более 100 организаций, в основном университеты. Злоумышленники публикуют требования о выкупе и уже слили данные как минимум одного британского вуза.
Что такое PeopleSoft и почему это опасно
PeopleSoft — это тяжеловесный корпоративный пакет для крупных организаций. С его помощью управляют:
- персоналом и зарплатами
- финансами и цепочками поставок
- закупками
- администрированием студентов (ключевая точка входа для кражи личных данных)
Атаки затронули как облачные, так и локальные экземпляры системы.
Как хакеры проникают в систему
ShinyHunters не раскрывают всех деталей, но признаются, что используют так называемую «цепочку гаджетов» (gadget chain) — комбинацию старых, известных уязвимостей. Успех взлома зависит от конкретной конфигурации экземпляра PeopleSoft у жертвы. Проще говоря: чем хуже настройки безопасности, тем легче войти.
Первая известная жертва — Ноттингемский университет
BleepingComputer первым сообщил о взломах. По данным издания, Ноттингемский университет официально признал инцидент. Его данные уже опубликованы на сайтах утечек. Злоумышленники утверждают, что украли:
- данные студентов и абитуриентов
- информацию о финансовой помощи
- иммиграционные и медицинские сведения
- домашние адреса, телефоны, email-адреса, даты рождения
Технические детели от исследователя
Кибербезопасник Майкл Р. обнаружил в открытом доступе несколько каталогов с инструментами для атаки. Среди них:
- агенты MeshCentral (удалённое управление)
- скрипты для взлома и сброса учётных данных
Как работает скрипт вымогателей:
- Анализирует файл
/etc/hosts, чтобы найти системы PeopleSoft - Пытается подключиться к ним по SSH, перебирая стандартные учётные записи:
psoft,oracle,linuxadm - Если пароль не подходит — пробует аутентификацию по SSH-ключам
- После успешного подключения размещает в каталогах веб-серверов и серверов приложений файл с требованием выкупа:
README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.txt
Индикаторы компрометации (IOC)
Если вы используете Oracle PeopleSoft — проверьте логи подключений с этих IP-адресов:
text
142.11.200.186 142.11.200.187 142.11.200.188 142.11.200.189 142.11.200.190 108.174.202.99 176.120.22.24
Некоторые из них используют TLS-сертификат с общим именем azurenetfiles[.]net — домен, который ранее уже связывали с группировками вымогателей.
Что делать жертвам
При обнаружении индикаторов компрометации эксперты советуют:
- немедленно начать реагирование на инцидент
- временно отключить затронутые серверы от интернета
- провести полную проверку и только потом возвращать системы в работу
Неудачная попытка взломать ФБР
Участник ShinyHunters раскрыл любопытную деталь. Изначально группировка хотела взломать сервер PeopleSoft Федерального бюро расследований США и опубликовать заявление, отрицающее их причастность к серии ложных вызовов, о которых ФБР сообщало месяцем ранее. Хакер признал: эта попытка провалилась.
Oracle хранит молчание
Компания Oracle пока никак не комментировала взлом. Это тревожный знак для всех клиентов PeopleSoft — особенно для образовательных учреждений.
Контекст: ShinyHunters уже брали выкуп с Instructure
В мае 2026 года гигант образовательных технологий Instructure (разработчик платформы Canvas) признал утечку данных почти из 9000 школ по всему миру. ShinyHunters похитили личную информацию 231 миллиона человек: имена, email-адреса, сообщения между учителями и учениками. Злоумышленники угрожали опубликовать 3,5 ТБ данных. Instructure заплатила выкуп. Сумма не разглашается.
