פרצת יום אפס ב-Oracle E-Business Suite שימשה לגניבת נתונים ולסחיטה, לפי Google
Google ו-Mandiant מתארות קמפיין סחיטה שמבוסס על ניצול יום אפס ב-Oracle EBS מאז 9 באוגוסט 2025. Oracle פרסמה תיקוני חירום ב-4 וב-11 באוקטובר.
TL;DR בקצרה
- GTIG ו-Mandiant עוקבות מ-29 בספטמבר 2025 אחרי מיילי סחיטה לבכירים, שטוענים לגניבת נתונים מ-Oracle EBS.
- לפי Google, ניצול יום האפס של CVE-2025-61882 התחיל ב-9 באוגוסט, שבועות לפני שהיה תיקון.
- Oracle פרסמה תיקון חירום ב-4 באוקטובר, ו-CISA הוסיפה את החולשה ל-KEV ב-6 באוקטובר.
- תיקון נוסף, ל-CVE-2025-61884, יצא ב-11 באוקטובר. התיקון לא מבטל פריצה שכבר קרתה.
תוקפים ניצלו פרצת יום אפס ב-Oracle EBS וגנבו נתונים מארגונים. אחר כך שלחו מיילי סחיטה. לפי Google Threat Intelligence Group (GTIG) ו-Mandiant, הן החלו לעקוב אחרי הקמפיין ב-29 בספטמבר 2025. Google פרסמה את הממצאים ב-10 באוקטובר 2025.
Oracle E-Business Suite היא חבילת מערכות ארגונית. החולשה המרכזית בה היא CVE-2025-61882. לפי SecurityWeek היא קיבלה ציון CVSS של 9.8 והיא פוגעת בגרסאות 12.2.3 עד 12.2.14. תוקף בלי שם משתמש וסיסמה יכול לנצל אותה דרך HTTP ולהריץ קוד מרחוק.
Oracle EBS: מה ידוע על הקמפיין ועל הקורבנות
ב-29 בספטמבר התחילו להגיע מיילים לבכירים בארגונים רבים. מי שכתב את המיילים טען שהוא קשור לכנופיית Cl0p ושגנב נתונים מסביבות EBS. לפי GTIG, המיילים יצאו מ״מאות, אם לא אלפי״ חשבונות צד שלישי שנפרצו.
כדי להוכיח את הטענה צירף התוקף רשימות קבצים אמיתיות מהסביבות של הקורבנות. הנתונים בהן מתחילים באמצע אוגוסט. סכום הכופר לא צוין במיילים, ולפי GTIG הוא נמסר בדרך כלל אחרי שהקורבן יוצר קשר.
Charles Carmakal הוא ה-CTO של Mandiant ב-Google Cloud. לפי Help Net Security, לדבריו הקבוצה גנבה כמויות גדולות של נתונים מכמה קורבנות באוגוסט. הוא הוסיף שארגונים צריכים לבדוק אם התוקפים כבר נכנסו אליהם, גם אם התקינו את התיקון.
GTIG לא פרסמה שמות של קורבנות. היא גם לא ראתה אותם באתר ההדלפות של Cl0p. בקמפיינים קודמים חיכתה הקבוצה כמה שבועות לפני שפרסמה נתונים.
ציר הזמן: מאוגוסט ועד תיקוני Oracle
- 9 באוגוסט: תחילת הניצול של CVE-2025-61882 כפרצת יום אפס, שבועות לפני שהיה תיקון. GTIG מזכירה גם פעילות חשודה מ-10 ביולי, שלא אושרה.
- 29 בספטמבר: תחילת מיילי הסחיטה.
- 2 באוקטובר: Oracle פרסמה התראה שלפיה תוקפים אולי ניצלו חולשות שתוקנו ביולי.
- 3 באוקטובר: תסריט ניצול דלף בקבוצת הטלגרם Scattered LAPSUS$ Hunters.
- 4 באוקטובר: Oracle פרסמה תיקוני חירום ל-CVE-2025-61882.
- 6 באוקטובר: CISA הוסיפה את החולשה לקטלוג KEV, רשימת החולשות שמנוצלות בפועל.
- 11 באוקטובר: Oracle פרסמה תיקון נוסף, ל-CVE-2025-61884.
Oracle עצמה טענה בהתחלה שהקמפיין קשור לחולשות שתוקנו ביולי. אחר כך אישרה שגם חולשת יום אפס שימשה בו.
Cl0p או FIN11: מה Google יודעת ומה לא
GTIG לא ייחסה את הקמפיין רשמית לקבוצה שהיא עוקבת אחריה. השם Cl0p לבדו אינו מספיק, כי Google ראתה גורם שהשתמש בו עם שיטות פעולה שונות.
מנגד, יש חפיפות עם FIN11. הכלי GOLDVEIN.JAVA דומה לכלים שהשתמש בהם אשכול החשוד ב-FIN11 בניצול של Cleo בסוף 2024. בנוסף, אחד החשבונות שנשלחו ממנו מיילי הסחיטה שימש בעבר את FIN11.
עוד לא ברור אם Cl0p וקבוצת Scattered LAPSUS$ Hunters פועלות יחד. הקבוצה השנייה היא זו שהפיצה את תסריטי הניצול בטלגרם, לפי Help Net Security.
מה לבדוק בשרתי Oracle EBS אחרי התיקון
התיקון סוגר את הפרצה, אבל הוא לא מבטל פריצה שכבר קרתה. GTIG ממליצה לחפש תבניות זדוניות בטבלה XDO_TEMPLATES_B. קוד התבנית שלהן מתחיל ב-TMP או ב-DEF. את התוכן של התבנית אפשר לראות בעמודה LOB_CODE בטבלה XDO_LOBS.
לפי GTIG, התוקפים הריצו אחר כך פקודות מעטפת בחשבון applmgr. שרתי EBS שהתקינו את התיקון מ-11 באוקטובר כנראה כבר אינם חשופים לשרשראות הניצול המוכרות.
מה זה אומר עבורכם
- התקינו את שני התיקונים: את התיקון מ-4 באוקטובר ל-CVE-2025-61882 ואת התיקון מ-11 באוקטובר ל-CVE-2025-61884.
- הניחו שאולי כבר פרצו אליכם: בדקו את XDO_TEMPLATES_B ואת XDO_LOBS לפי תאריך יצירה. חפשו תבניות שהקוד שלהן מתחיל ב-TMP או ב-DEF.
- חסמו תנועה יוצאת: אין סיבה ששרת EBS יפנה לאינטרנט. לפי GTIG, חסימה כזו יכולה לשבש את שרשרת התקיפה גם אחרי פריצה.
- עקבו אחרי הבקשות ביומנים: חפשו בקשות ל-TemplatePreviewPG, ל-UiServlet ול-SyncServlet. בדקו גם תהליכי bash -i שנפתחו מתהליך ה-Java של EBS.
- אל תזלזלו במייל סחיטה: השולחים צירפו רשימות קבצים אמיתיות. הפעילו את צוות התגובה לאירועים לפני שאתם עונים.
מה קרה מאז
ב-13 באוקטובר 2025 דיווח BleepingComputer שOracle פרסמה אותו כתיקון חירום ב-11 באוקטובר. לפי Oracle, CVE-2025-61884 קשורה לרכיב Runtime UI וקיבלה ציון CVSS של 7.5. Oracle לא סימנה אותה כחולשה שמנוצלת בפועל.
מקורות והרחבה
- Oracle E-Business Suite Zero-Day Exploited in Widespread Extortion CampaignGoogle Threat Intelligence Group
- Oracle E-Business Suite zero-day exploited in Cl0p attacksSecurityWeek
- Cl0p exploits Oracle E-Business Suite zero-day in data theft, extortion campaign (CVE-2025-61882)Help Net Security
- CISA Adds Seven Known Exploited Vulnerabilities to CatalogCISA
- Oracle releases emergency patch for new E-Business Suite flawBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
