ShinyHunters behauptet, das FBI über eine PeopleSoft-Zero-Day-Schwachstelle gehackt zu haben

ShinyHunters behauptet, über eine ungepatchte Schwachstelle in Oracle PeopleSoft in FBI-Systeme eingedrungen zu sein und Daten von Mitarbeitern und Bewerbern gestohlen zu haben. Das FBI gibt an, Behauptungen über unbefugte Aktivitäten zu untersuchen, die FBIjobs.gov betreffen.

Der mutmaßliche ShinyHunters-Datenverstoß beim FBI ist weiterhin unbestätigt. Das FBI hat nicht mitgeteilt, ob Angreifer auf seine Systeme zugegriffen oder Daten gestohlen haben. Ermittler haben auch die behauptete PeopleSoft-Zero-Day-Schwachstelle nicht bestätigt.

ShinyHunters behauptet Zugriff auf FBI-Systeme

ShinyHunters teilte BleepingComputer mit, dass die Gruppe am Montagabend eine PeopleSoft-Schwachstelle genutzt habe, um Zugriff zu erhalten. Die Gruppe behauptet, anschließend in weitere FBI-Dienste vorgedrungen zu sein, darunter eine AWS-GovCloud-Umgebung.

Nach Angaben der Gruppe wurden durch den Angriff zwischen 2 TB und 3 TB an Daten offengelegt. Das Material soll Datensätze über aktuelle und ehemalige Mitarbeiter, Bewerber und interne Abläufe enthalten.

BleepingComputer konnte die angebliche Schwachstelle, die Bewegung zwischen den Systemen oder die Menge der gestohlenen Daten nicht unabhängig verifizieren. Daher bleiben diese Angaben Behauptungen der Angreifer.

FBI untersucht Aktivitäten auf der Job-Website

Das FBI bestätigte, dass es die Behauptungen über unbefugte Aktivitäten auf FBIjobs.gov kennt und untersucht. Die Stellungnahme bestätigte weder einen umfassenderen Datenverstoß noch einen Datendiebstahl.

ShinyHunters teilte einen Screenshot, der offenbar eine manipulierte Bewerbungsseite von FBI Jobs zeigte. Die Gruppe stellte außerdem zwei Datensätze zur Verfügung, die angeblich aus dem Angriff stammen. BleepingComputer erklärte, weder deren Echtheit noch deren Herkunft verifizieren zu können.

Unabhängig davon berichtete 404 Media, eine Stichprobe von rund 5.000 angeblichen Datensätzen von FBI-Mitarbeitern erhalten zu haben. Das Medium gab an, einige Angaben in der Stichprobe verifiziert zu haben. Dieses Ergebnis belegt jedoch weder, woher die Datensätze stammen, noch bestätigt es die Darstellung des Angriffs durch ShinyHunters.

Angeblicher PeopleSoft-Zero-Day bleibt unbestätigt

ShinyHunters behauptet, dass die angebliche PeopleSoft-Schwachstelle die Ausführung von Code aus der Ferne ermöglicht und weiterhin ungepatcht ist. Die Gruppe behauptet außerdem, dieselbe Schwachstelle gegen andere Organisationen einzusetzen, darunter große Unternehmen.

Weder die Schwachstelle noch diese zusätzlichen Angriffe waren in dem vorliegenden Bericht unabhängig bestätigt worden. BleepingComputer kontaktierte Oracle und das Mandiant-Team von Google Cloud, um Informationen zu den Behauptungen zu erhalten.

Ein bestätigter Zero-Day hätte Auswirkungen über diesen Vorfall hinaus. Vorerst sollten Organisationen jedoch zwischen der Darstellung des Angriffs durch die Gruppe und Erkenntnissen unterscheiden, die Ermittler oder der Softwareanbieter verifiziert haben.

Gruppe bringt ihre Behauptungen mit FBI-Bericht in Verbindung

ShinyHunters erklärte später, der angebliche Angriff sei eine Vergeltungsmaßnahme für einen im Mai veröffentlichten FBI-Bericht über die Gruppe gewesen. Sie forderte die Behörde auf, den Bericht innerhalb einer Woche zu ändern oder zu entfernen.

Die Gruppe teilte nicht mit, ob sie die angeblich gestohlenen Daten veröffentlichen würde, falls das FBI die Forderung ablehnt. Unterdessen dauern die Ermittlungen des FBI an, und das Ausmaß möglicher unbefugter Aktivitäten bleibt unklar.