// CLUBIC — CYBERSECURITY
Piratage du FBI : ShinyHunters aurait contourné le pare-feu protégeant Oracle PeopleSoft
Le piratage du portail de recrutement du FBI commence à livrer ses premiers détails techniques. Google a documenté une méthode utilisée par ShinyHunters pour contourner les protections d’Oracle PeopleSoft, que le groupe affirme également avoir employée contre FBI Jobs.
Quelques jours après l’attaque revendiquée contre le FBI, de nouveaux éléments permettent de mieux comprendre comment ShinyHunters aurait pu atteindre l’environnement Oracle PeopleSoft utilisé par le portail de recrutement de l’agence. Les chercheurs de Google ont identifié une technique employée par le groupe pour contourner des mesures temporaires déployées sur des serveurs qui n’avaient pas encore installé le correctif publié en juin par Oracle pour une faille critique de PeopleSoft.
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
L’affaire remonte à la fin du printemps dernier. ShinyHunters commence alors à s’introduire dans des serveurs Oracle PeopleSoft grâce à une faille encore non corrigée et non divulguée publiquement. Pendant près de deux semaines, le groupe peut l’exploiter sans correctif disponible, notamment contre des établissements d’enseignement supérieur. Oracle finit par intervenir le 10 juin et attribue à la vulnérabilité la référence CVE-2026-35273. Critique, elle permet d’exécuter du code à distance sur un serveur sans disposer d’identifiants.
La publication du correctif ne règle pourtant pas immédiatement le problème pour toutes les organisations concernées. Le temps de tester puis de déployer la mise à jour, des serveurs restent vulnérables et doivent être protégés autrement. Parmi les mesures préconisées figure alors le blocage, au niveau du pare-feu applicatif, de l’adresse qui permet d’atteindre la partie vulnérable de PeopleSoft depuis Internet. La faille est donc toujours présente sur la machine, mais les requêtes venues de l’extérieur sont censées ne plus pouvoir parvenir jusqu’à elle.
ShinyHunters adapte donc son exploit. Au lieu de viser directement /PSEMHUB/, l’adresse que les pare-feu ont été configurés pour bloquer, le groupe envoie ses requêtes vers /%50SEMHUB/. Or, dans une URL, %50 correspond à la lettre majuscule P. Pour le pare-feu, qui peut examiner l’adresse avant de la décoder, le chemin n’est plus celui inscrit dans la règle de blocage. Pour Oracle WebLogic, qui procède ensuite au décodage, /%50SEMHUB/ redevient en revanche /PSEMHUB/ et dirige la requête vers le composant vulnérable que le pare-feu était justement censé empêcher d’atteindre depuis Internet.
C’est a priori ce qui se serait également produit sur FBI Jobs. ShinyHunters affirme avoir utilisé ce même contournement contre le portail de recrutement du FBI, tout en maintenant avoir exploité une seconde vulnérabilité encore inconnue dans la même partie de PeopleSoft. Le FBI a confirmé enquêter sur la compromission revendiquée de FBI Jobs, mais n’a pas établi publiquement le point d’entrée emprunté par les attaquants.
Le choix de la cible n’avait rien de fortuit. En revendiquant l’attaque, ShinyHunters l’a présentée comme une mesure de représailles contre un bulletin publié par le FBI en mai, qui détaillait ses méthodes et lui attribuait notamment des pratiques de harcèlement, de menaces et de swatting. Le groupe conteste ces accusations et exigeait que l’agence corrige ou retire le document. Il assurait par ailleurs que l’opération n’avait aucune motivation financière et ne réclamait aucune rançon.