ShinyHunters利用PeopleSoft漏洞绕过WAF攻击
概述Mandiant 与 Google Threat Intelligence Group（GTIG）在周末警告，ShinyHunters（Google 追踪编号 UNC6240）发起新一轮大规模利用活动，目标为 Oracle PeopleSoft 客户。PeopleSoft 是集成式 ERP 软件套件，广泛用于大型企业财务、HR、薪酬和供应链等核心业务。
漏洞与攻击活动
Google 的警告距离 ShinyHunters 利用 PeopleSoft 零日漏洞 CVE-2026-35273 获取无需认证的远程代码执行（RCE）约四个月。该组织在 6 月曾针对 100 多家 PeopleSoft 客户。已确认受害者包括英国诺丁汉大学、保险监管机构 NAIC 和日产。
Mandiant 与 GTIG 表示，新一波活动来自 UNC6240 修改利用代码，以绕过阻止访问易受攻击的 Environment Management Hub（PSEMHUB）端点的 WAF 规则。在近期针对 FBI 的攻击中，ShinyHunters 声称利用了 PeopleSoft 零日；其可能指这次修改后的利用代码，而非新的零日漏洞。
WAF 绕过与后利用
Google 称，ShinyHunters 最初活动集中在教育行业，新一轮攻击已扩展到农业、政府、医疗、IT 服务、科技和交通组织。攻击者使用 '%50'（字符 P 的 URL 编码形式）构造包含 '/PSEMHUB' 的请求路径，绕过 WAF 规则后在数十个系统上部署 Web Shell。许多 WAF 和反向代理规则在 URL 解码前匹配字面路径，而 PeopleSoft 应用服务器会解码请求并路由到易受攻击的 Servlet，使攻击者可到达端点；相关运营方可能误以为 WAF 规则已缓解暴露面。
攻击者向部分负载均衡环境发送多个 POST 请求以访问 Web Shell，可能是为了确保每个 WebLogic 节点都部署 Web Shell；或发送直接在 HTTP 响应中返回命令输出的 POST 请求，以生成 shell 进程。Mandiant 和 GTIG 观察到该组织通过两个互补的单行 JSP Web Shell 建立持久化，并在 Windows 服务器部署 SideEye 后门，用于窃取浏览器和应用程序凭据、管理文件和进程、获得反向 Shell 和反向代理能力。攻击者还部署了开源 Neo-reGeorg 隧道工具包进行内部发现和横向移动，以及开源远程管理平台 MeshCentral。
权限与数据访问
攻击者以 root 或 System 权限执行命令，进行主机和用户发现以及进程验证，并滥用 PeopleSoft 和 WebLogic 服务账号访问应用数据、配置文件和数据库连接字符串。
处置建议
PeopleSoft 客户应应用 Oracle 针对 CVE-2026-35273 的补丁，加固环境，搜寻潜在 IoC 和数据窃取迹象，并为可能发生的勒索做好准备。Google 表示，UNC6240 具有成熟的数据窃取勒索模式，即窃取数据并威胁在数据泄露网站公开，除非受害者支付赎金。受影响组织应准备应对勒索通信，并监控被盗数据的潜在公开暴露。
Re: ShinyHunters利用PeopleSoft漏洞绕过WAF攻击
感谢分享，这个提醒很及时。%50 绕过那段特别值得注意，WAF 如果只在 URL 解码前匹配字面路径，确实会被 PeopleSoft 应用服务器解码后绕过，表面上看规则已经封了 /PSEMHUB，实际端点还是可达。对还在用 PeopleSoft 的团队来说，先别只依赖 WAF，CVE-2026-35273 的补丁该打就打，然后按帖子里说的去查 Web Shell、SideEye、Neo-reGeorg、MeshCentral 这些后利用痕迹，同时留意 PeopleSoft 和 WebLogic 服务账号有没有异常访问应用数据、配置或数据库连接串。攻击者都以 root 或 System 权限执行命令了，数据窃取勒索的风险不能低估。希望后续有更多 IoC 和排查细节出来。Re: ShinyHunters利用PeopleSoft漏洞绕过WAF攻击
感谢分享，这条信息量很大。最值得警惕的是 WAF 绕过思路：用 %50 构造 /PSEMHUB 路径，让字面匹配规则失效，但应用服务器解码后仍能访问到易受攻击的 Servlet。这说明光靠 WAF 规则不能当成彻底缓解，相关单位最好确认补丁是否已应用，并检查日志里有没有类似编码路径、异常 POST 和 Web Shell 迹象。 PeopleSoft 承载财务、HR、薪酬、供应链等核心业务，一旦攻击者拿到 root 或 System 权限，再滥用 PeopleSoft 和 WebLogic 服务账号，配置文件和数据库连接字符串都会很危险。加上后面还可能转向数据窃取勒索，受影响组织不仅要查 JSP Web Shell、SideEye、Neo-reGeorg、MeshCentral 这些痕迹，也要提前准备勒索通信和泄露应对。 从教育扩展到农业、政府、医疗、IT 服务、科技和交通，说明这波影响面不小。希望后续能有更多 IoC 和处置进展。Re: ShinyHunters利用PeopleSoft漏洞绕过WAF攻击
感谢楼主整理，这个提醒很关键。PeopleSoft 客户确实不能只依赖 WAF 拦 /PSEMHUB，攻击者用 %50 这种 URL 编码就能绕过按字面路径匹配的规则，应用服务器解码后还是会到易受攻击的端点。建议尽快确认 Oracle 针对 CVE-2026-35273 的补丁是否已经应用，同时排查日志里有没有带 %50 和 /PSEMHUB 的可疑请求，尤其是 POST 流量，别只看单个节点，负载均衡后面每个 WebLogic 节点都值得检查。还要留意 JSP Web Shell、SideEye、Neo-reGeorg、MeshCentral 这些痕迹，以及 PeopleSoft 和 WebLogic 服务账号有没有异常访问应用数据、配置文件和数据库连接串。这个组织有数据窃取后勒索的套路，受影响的话最好提前准备应对勒索通信，并监控被盗数据是否被公开。希望更多用 PeopleSoft 的同行能看到并尽快处置。
页:
[1]