El grupo de ciberdelincuentes ShinyHunters ha vuelto a dar un golpe masivo. Esta vez, la banda afirma haber comprometido los servidores de Oracle PeopleSoft de más de 100 organizaciones, la mayoría de ellas universidades, según informó un miembro del grupo a TechCrunch.

Una vulnerabilidad crítica sin parche

Oracle emitió una advertencia de seguridad el jueves, un día después de que ShinyHunters reivindicara la autoría de los ataques. La compañía confirmó la existencia de una vulnerabilidad de gravedad crítica en su software PeopleSoft, utilizado por grandes empresas para la gestión de nóminas, recursos humanos y administración. El problema: aún no hay un parche disponible.

La firma de ciberseguridad Mandiant, propiedad de Google, corroboró en una publicación de blog que la nueva falla de Oracle es la misma que está siendo explotada por ShinyHunters. Oracle indicó en su aviso que el fallo puede ser explotado a través de internet sin necesidad de autenticación. Mientras se espera una solución definitiva, la compañía ha recomendado a sus clientes implementar estrategias de mitigación para evitar la explotación del agujero de seguridad.

Un ataque en masa contra la educación superior

Mandiant notificó a más de 100 organizaciones globales, principalmente en Estados Unidos, para ayudar a restringir el acceso a sus sistemas potencialmente vulnerables. De estas, aproximadamente dos tercios pertenecen al sector de la educación superior, lo que coincide con las afirmaciones iniciales de ShinyHunters.

El alcance del ataque es enorme. Los hackers afirman haber exfiltrado datos personales de estudiantes, incluyendo direcciones, números de teléfono, correos electrónicos y fechas de nacimiento. En un mensaje enviado a una de las víctimas, los atacantes detallaron el robo de «cientos de miles de registros de estudiantes que contienen nombre completo, dirección, teléfono, correo electrónico, fecha de nacimiento, género, etnia, estado de matriculación, GPA, especialidad e ID de estudiante de todos los campus», además de datos financieros, de inmigración y administrativos.

Mientras que algunas organizaciones lograron bloquear la actividad o remediar las vulnerabilidades a tiempo, otras no corrieron la misma suerte. Los datos sustraídos ya han sido publicados en el sitio web de filtración de datos de ShinyHunters.

Un modus operandi conocido

ShinyHunters se ha convertido en uno de los grupos de ciberdelincuencia más visibles y prolíficos del momento, especializándose en hackeos masivos. Su método consiste en encontrar una vulnerabilidad en un software popular para comprometer a múltiples víctimas a la vez. En el último año, el grupo ha atacado a organizaciones que utilizaban Salesforce, Gainsight y el software de Instructure, gigante de la tecnología educativa.

El objetivo original de este último ataque, según confesó un miembro del grupo, era comprometer un servidor PeopleSoft del FBI. La intención era publicar un comunicado negando que ShinyHunters estuviera detrás de una ola de ataques de «swatting» que la agencia había señalado en una alerta el mes pasado. El miembro indicó que ese intento fracasó.

Sin respuesta oficial de Oracle

Hasta el momento, Oracle no ha respondido a las solicitudes de comentarios de los medios. La compañía se ha limitado a publicar el aviso de seguridad y a recomendar medidas defensivas a sus clientes, mientras el reloj corre para evitar que más organizaciones caigan víctimas de esta campaña.

La situación es un recordatorio de que, incluso para los gigantes tecnológicos, el tiempo entre la detección de una vulnerabilidad de día cero y su explotación masiva puede ser alarmantemente corto.