शाइनीहंटर्स ने ओरैकल पीपुलसॉफ्ट के जीरो-डे का फायदा उठाकर विश्वविद्यालयों को निशाना बनाया

ओरैकल पीपुलसॉफ्ट में नया जीरो-डे: शाइनीहंटर्स की बड़ी साइबर हमले की चपेट में विश्वविद्यालय

साइबर सुरक्षा की दुनिया में एक नया खतरा सामने आया है। शाइनीहंटर्स नामक साइबर अपराधी समूह ने ओरैकल पीपुलसॉफ्ट के पीपुलटूल्स में मौजूद एक अनपैच्ड जीरो-डे भेद्यता (सीवीई-2026-35273) का फायदा उठाकर बड़े पैमाने पर डेटा उल्लंघन किया है। इस हमले का मुख्य निशाना विश्वविद्यालय और शैक्षणिक संस्थान रहे हैं। गूगल की साइबर सुरक्षा टीम मैंडिएंट ने इस अभियान को ट्रैक करते हुए पाया कि हमलावरों ने 27 मई से 9 जून के बीच इस जीरो-डे का इस्तेमाल किया। सबसे चौंकाने वाली बात यह है कि ओरैकल ने इस भेद्यता के बारे में सार्वजनिक तौर पर जानकारी देने में देरी की और अपना आधिकारिक advisory 10 जून को जारी किया। इसका मतलब यह हुआ कि यह जीरो-डे पूरे 14 दिन तक खुला रहा, जिसके दौरान हमलावरों ने इसका जमकर फायदा उठाया।

इस जीरो-डे भेद्यता की गंभीरता का अंदाजा इसी बात से लगाया जा सकता है कि इसे 9.8 का सीवीएसएस स्कोर दिया गया है, जो इसे अत्यंत खतरनाक श्रेणी में रखता है। इस भेद्यता के जरिए हमलावर बिना किसी लॉगिन क्रेडेंशियल के और बिना किसी उपयोगकर्ता की सहभागिता के, केवल HTTP नेटवर्क एक्सेस के माध्यम से पीपुलसॉफ्ट सर्वर पर रिमोट कोड निष्पादन कर सकते थे। अगर आप अपने पीपुलसॉफ्ट एंटरप्राइज पीपुलटूल्स में Environment Management Hub को बाहरी दुनिया से सुलभ रखते हैं, तो आप सीधे तौर पर इस हमले के लिए असुरक्षित हैं। ऐसे में तुरंत इन एंडपॉइंट्स को बंद करना या सुरक्षा बढ़ाना जरूरी हो जाता है।

पीपुलसॉफ्ट में कहां है यह भेद्यता?

यह भेद्यता पीपुलसॉफ्ट एंटरप्राइज पीपुलटूल्स के अपडेट्स एनवायरनमेंट मैनेजमेंट कंपोनेंट में पाई गई है, जो Environment Management Hub (PSEMHUB) के पीछे काम करता है। ओरैकल के अनुसार, यह भेद्यता पीपुलटूल्स के संस्करण 8.61 और 8.62 को प्रभावित करती है, जबकि इससे पुराने और अब समर्थन बंद हो चुके संस्करण भी संभवतः असुरक्षित हैं। ओरैकल ने इस खामी की जानकारी देने का श्रेय ट्रेंड माइक्रो के ज़ीरो डे इनिशिएटिव और ट्रेंड माइक्रो रिसर्च को दिया है। मैंडिएंट के सीटीओ चार्ल्स कारमकाल ने भी पुष्टि की है कि यह भेद्यता वास्तविक दुनिया में सक्रिय रूप से शोषित की जा रही है। हालांकि ओरैकल ने अभी तक यह स्पष्ट नहीं किया है कि क्या उन्हें स्वयं इस तरह के हमलों के सबूत मिले हैं।

हमलावरों ने कैसे किया हमला?

हमलावरों ने इस जीरो-डे का इस्तेमाल करते हुए सर्वरों में सेंध लगाई, संवेदनशील डेटा चुराया और फिरौती की मांग की। सबसे दिलचस्प बात यह है कि हमलावरों ने अपने ही उपकरणों को खुला छोड़ दिया, जिसके कारण सुरक्षा शोधकर्ताओं को उनके हमले के तरीके का पता चल सका। शोधकर्ता @nahamike01 ने खुले डायरेक्ट्री लिस्टिंग की ओर ध्यान आकर्षित किया, जिसके बाद मैंडिएंट ने पांच क्रमिक आईपी पतों पर चल रहे पायथन के SimpleHTTP सर्वर (पोर्ट 8888) की पहचान की। इन सर्वरों पर हमलावरों के स्टेजिंग फाइलें मौजूद थीं, जिनमें शामिल थे:

• एक साझा .bash_history फाइल, जिसमें हमलावरों के कमांड इतिहास की जानकारी थी
• कस्टम MeshCentral रिमोट मैनेजमेंट एजेंट, जिन्हें माइक्रोसॉफ्ट एज़्योर बाइनरी के रूप में छिपाया गया था
• एक लेटरल मूवमेंट स्क्रिप्ट जिसका नाम [victim]_fanout.sh था

कमांड एंड कंट्रोल इंफ्रास्ट्रक्चर और डेटा एक्सफिल्ट्रेशन

हमलावरों ने अपने कमांड एंड कंट्रोल (C2) सर्वर के लिए azurenetfiles.net डोमेन का इस्तेमाल किया, जिसे एज़्योर नेटऐप फाइल्स जैसे लगने के लिए डिजाइन किया गया था। इससे वे अपने इंफ्रास्ट्रक्चर को वैध दिखाने में सफल रहे। लेटरल मूवमेंट स्क्रिप्ट [victim]_fanout.sh SSH के माध्यम से फैलती थी। यह स्क्रिप्ट /etc/hosts फाइल से आंतरिक होस्ट्स की सूची निकालकर, उन पर हार्डकोडेड यूजरनेम और पासवर्ड के combinations का इस्तेमाल करती थी। इसके अलावा, हमलावर पीपुलसॉफ्ट डायरेक्ट्री में README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT नाम की एक फाइल छोड़ देते थे, ताकि पीड़ितों को हमले की जानकारी मिल सके।

डेटा एक्सफिल्ट्रेशन के दौरान, हमलावर zstd कम्प्रेशन टूल का इस्तेमाल करते थे और शाइनीहंटर्स के लीक साइट के सार्वजनिक मिरर को होस्ट करने वाले सर्वर पर आउटबाउंड SSH कनेक्शन स्थापित करते थे। इससे उन्हें चुराए गए डेटा को आसानी से ट्रांसफर करने में मदद मिली।

किन संगठनों पर हुआ हमला?

मैंडिएント ने बताया कि उन्होंने 100 से अधिक संगठनों को सूचित किया है जिनके आईपी पतों पर इस तरह के संदिग्ध गतिविधि देखी गई थी। हालांकि, सार्वजनिक रूप से यह स्पष्ट नहीं किया गया है कि इनमें से कितने संगठन वास्तव में प्रभावित हुए हैं। विश्वविद्यालयों और शैक्षणिक संस्थानों के अलावा, अन्य उद्यमों पर भी इस हमले का प्रभाव देखा गया है। चूंकि पीपुलसॉफ्ट का इस्तेमाल बड़ी संख्या में उद्यमों, सरकारी संगठनों और शिक्षण संस्थानों द्वारा किया जाता है, इसलिए इस हमले का दायरा बहुत व्यापक हो सकता है।

ओरैकल की प्रतिक्रिया और सुरक्षा उपाय

ओरैकल ने इस जीरो-डे भेद्यता के बारे में 10 जून को अपना आधिकारिक advisory जारी किया, जिसमें उन्होंने प्रभावित संस्करणों की जानकारी दी और सुरक्षा उपायों की सिफारिश की। हालांकि, ओरैकल के advisory तक पहुंचने के लिए एक सपोर्ट लॉगिन की आवश्यकता होती है, जिसके कारण कई उपयोगकर्ताओं को तुरंत जानकारी नहीं मिल पाई। ओरैकल ने अभी तक यह स्पष्ट नहीं किया है कि क्या वे एक पूर्ण पैच जारी करेंगे या केवल mitigation उपायों की सिफारिश करेंगे।

शोधकर्ताओं और संगठनों के लिए महत्वपूर्ण सबक

इस घटना से कई महत्वपूर्ण सबक निकलते हैं:

1. जीरो-डे भेद्यताओं का खतरा: जीरो-डे भेद्यताएं बहुत खतरनाक होती हैं क्योंकि उनके बारे में सार्वजनिक जानकारी मिलने से पहले ही हमलावर उनका फायदा उठा सकते हैं। ऐसे में संगठनों को अपने सिस्टम की सुरक्षा को लगातार अपडेट करते रहना चाहिए।

2. एक्सपोजर मैनेजमेंट: Environment Management Hub जैसे घटकों को बाहरी दुनिया से सुलभ रखना बहुत जोखिम भरा हो सकता है। संगठनों को अपने सभी सिस्टम घटकों की एक्सपोजर स्थिति की नियमित समीक्षा करनी चाहिए और अनावश्यक रूप से खुले हुए पोर्ट्स या सेवाओं को बंद कर देना चाहिए।

3. मॉनिटरिंग और डिटेक्शन: असामान्य गतिविधि का पता लगाने के लिए मजबूत मॉनिटरिंग और डिटेक्शन सिस्टम का होना बहुत जरूरी है। खुले डायरेक्ट्री लिस्टिंग जैसे संकेतों पर तुरंत ध्यान देना चाहिए।

4. आपातकालीन प्रतिक्रिया: अगर किसी संगठन को संदेह हो कि वे प्रभावित हुए हैं, तो उन्हें तुरंत घटना प्रतिक्रिया टीम से संपर्क करना चाहिए और अपने सिस्टम की सुरक्षा की जांच करनी चाहिए।

भविष्य के लिए क्या करें?

इस घटना के बाद संगठनों को निम्नलिखित कदम उठाने चाहिए:

• तुरंत पैच लागू करें: अगर ओरैकल ने कोई पैच जारी किया है, तो उसे तुरंत अपने सिस्टम पर लागू करें। अगर पैच अभी तक उपलब्ध नहीं है, तो mitigation उपायों को लागू करें।

• एक्सेस कंट्रोल की समीक्षा करें: Environment Management Hub जैसे घटकों तक पहुंच को प्रतिबंधित करें और केवल आवश्यक कर्मचारियों को ही इसका एक्सेस दें।

• लॉगिंग और मॉनिटरिंग बढ़ाएं: असामान्य गतिविधि का पता लगाने के लिए अपने लॉगिंग और मॉनिटरिंग सिस्टम को मजबूत करें। खासकर SSH कनेक्शन और असामान्य फाइल गतिविधि पर ध्यान दें।

• कर्मचारियों को जागरूक करें: साइबर सुरक्षा के प्रति कर्मचारियों को जागरूक करें और उन्हें संदिग्ध गतिविधि की रिपोर्ट करने के लिए प्रोत्साहित करें।

• तृतीय-पक्ष सुरक्षा मूल्यांकन: अगर संभव हो, तो अपने सिस्टम की सुरक्षा का तीसरे पक्ष द्वारा मूल्यांकन कराएं, ताकि किसी भी छिपी हुई भेद्यता का पता लगाया जा सके।

निष्कर्ष

शाइनीहंटर्स द्वारा ओरैकल पीपुलसॉफ्ट के जीरो-डे का फायदा उठाकर किया गया यह हमला एक बार फिर साबित करता है कि साइबर अपराधी लगातार नए तरीकों की तलाश में रहते हैं। जीरो-डे भेद्यताओं का खतरा बहुत वास्तविक है और संगठनों को अपने सिस्टम की सुरक्षा को लगातार अपडेट और मॉनिटर करते रहना चाहिए। इस घटना से सीख लेकर संगठनों को अपने सुरक्षा उपायों को मजबूत करना चाहिए, ताकि भविष्य में होने वाले हमलों से बचा जा सके। सुरक्षा हमेशा प्राथमिकता होनी चाहिए, और किसी भी तरह की लापरवाही बहुत महंगी साबित हो सकती है।