{"id":69958,"date":"2026-09-26T20:14:22","date_gmt":"2026-09-26T20:14:22","guid":{"rendered":"https:\/\/overcentral.com\/es\/?p=69958"},"modified":"2026-09-26T20:14:22","modified_gmt":"2026-09-26T20:14:22","slug":"shinyhunters-evade-waf-oracle-peoplesoft-69958","status":"publish","type":"post","link":"https:\/\/overcentral.com\/es\/shinyhunters-evade-waf-oracle-peoplesoft-69958\/","title":{"rendered":"ShinyHunters evade WAF con URL codificada para explotar Oracle PeopleSoft"},"content":{"rendered":"<p>La banda de extorsi\u00f3n ShinyHunters ha reanudado su explotaci\u00f3n masiva de la vulnerabilidad cr\u00edtica CVE-2026-35273 en <a href=\"https:\/\/www.oracle.com\/security-alerts\/\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Oracle<\/a> PeopleSoft mediante una nueva t\u00e9cnica de evasi\u00f3n que anula las protecciones de los cortafuegos de aplicaciones web. Al emplear URLs con codificaci\u00f3n de caracteres, los atacantes consiguen que sus solicitudes lleguen al endpoint vulnerable sin ser bloqueadas por los WAF que muchas organizaciones desplegaron como medida compensatoria.<\/p>\n<h2>La nueva t\u00e9cnica de evasi\u00f3n de WAF que utiliza URL codificada<\/h2>\n<p>En lugar de enviar peticiones directas al punto final vulnerable <strong>\/PSEMHUB\/<\/strong>, la banda emplea ahora la variante <strong>\/%50SEMHUB\/<\/strong>. La secuencia <strong>%50<\/strong> no es m\u00e1s que la representaci\u00f3n percent-encoded de la letra \u00abP\u00bb. Esa simple conversi\u00f3n es suficiente para burlar los filtros que buscan coincidencias exactas con la ruta literal.<\/p>\n<table>\n<tr>\n<th>Ruta enviada por el atacante<\/th>\n<th>Ruta que inspecciona el WAF<\/th>\n<th>Ruta que procesa WebLogic<\/th>\n<\/tr>\n<tr>\n<td>\/PSEMHUB\/<\/td>\n<td>\/PSEMHUB\/<\/td>\n<td>\/PSEMHUB\/<\/td>\n<\/tr>\n<tr>\n<td>\/%50SEMHUB\/<\/td>\n<td>\/%50SEMHUB\/<\/td>\n<td>\/PSEMHUB\/<\/td>\n<\/tr>\n<\/table>\n<p>Muchos cortafuegos de aplicaciones web y proxies inversos comparan la ruta cruda de la solicitud antes de decodificarla. Ven <strong>%50SEMHUB<\/strong> como una ruta diferente y, por tanto, la regla dise\u00f1ada para bloquear <strong>\/PSEMHUB\/<\/strong> no se activa. Mientras tanto, Oracle WebLogic, que es el servidor de aplicaciones subyacente, decodifica la secuencia <strong>%50<\/strong> al procesar la petici\u00f3n y la enruta directamente al componente vulnerable PSEMHUB.<\/p>\n<h3>\u00bfPor qu\u00e9 la codificaci\u00f3n de URL en la ruta logra evadir las reglas del WAF?<\/h3>\n<p>Porque los WAF inspeccionan el valor literal de la ruta sin decodificarlo, mientras que el servidor de aplicaciones lo interpreta tras haber decodificado la URL. Esa diferencia de interpretaci\u00f3n permite que la solicitud maliciosa llegue al recurso protegido sin disparar las alertas, especialmente cuando los equipos de seguridad configuran excepciones demasiado espec\u00edficas.<\/p>\n<h2>Detecci\u00f3n y mitigaci\u00f3n del compromiso en Oracle PeopleSoft<\/h2>\n<p><a href=\"https:\/\/www.mandiant.com\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Mandiant<\/a>, la empresa de seguridad que rastrea al grupo con el alias UNC6240, recomienda no confiar en los WAF y aplicar de inmediato el parche de Oracle para CVE-2026-35273. Para las organizaciones que no puedan actualizar de forma inmediata, la alternativa es revisar los registros de acceso de WebLogic y buscar patrones de ruta sospechosos. Adem\u00e1s de la ruta literal <strong>\/PSEMHUB\/<\/strong>, hay que monitorizar variantes como <strong>\/%50SEMHUB\/<\/strong>, ya que el actor alterna esquemas de codificaci\u00f3n para evitar su detecci\u00f3n. Antes de intentar la explotaci\u00f3n, el grupo env\u00eda entre cinco y quince solicitudes POST al recurso <strong>\/%50SEMHUB\/hub<\/strong> para comprobar si el servidor es vulnerable.<\/p>\n<ul>\n<li>Auditar los registros de acceso de WebLogic en busca de peticiones dirigidas a <strong>PSEMHUB<\/strong>, tanto en forma literal como codificada.<\/li>\n<li>Aplicar el parche de seguridad de Oracle correspondiente a CVE-2026-35273 antes de que se cierre la ventana de explotaci\u00f3n activa.<\/li>\n<li>Configurar el WAF para normalizar las secuencias percent-encoded antes de comparar la URL con las reglas de bloqueo.<\/li>\n<\/ul>\n<h2>Impacto de la nueva campa\u00f1a<\/h2>\n<p>La campa\u00f1a m\u00e1s reciente ha afectado a docenas de servidores en sectores como la ense\u00f1anza superior, tecnolog\u00eda, servicios inform\u00e1ticos, salud, agricultura, transporte y administraci\u00f3n p\u00fablica. Los analistas de seguridad han identificado el despliegue de m\u00faltiples herramientas de acceso posterior, lo que evidencia la intenci\u00f3n de mantener un acceso persistente a las redes comprometidas.<\/p>\n<p>Entre las herramientas utilizadas se encuentran los shells <strong>x.jsp<\/strong> para ejecuci\u00f3n de comandos, as\u00ed como <strong>u.jsp<\/strong> y <strong>u2.jsp<\/strong> para transferencia de archivos. En sistemas Windows, la banda despliega un ejecutable llamado <strong>Ple64.exe<\/strong>, que se hace pasar por el instalador del reproductor multimedia Light Alloy pero que en realidad instala el malware <strong>SIDEEYE<\/strong>, capaz de robar credenciales, crear shells inversos y actuar como proxy. Tambi\u00e9n utiliza el kit de t\u00fanel <strong>Neo-reGeorg<\/strong> para canalizar tr\u00e1fico SOCKS5 a trav\u00e9s de peticiones HTTP y HTTPS normales, as\u00ed como los archivos <strong>tunnel.jsp<\/strong> y <strong>tunnel.jspx<\/strong>. En servidores Linux se ha observado el uso leg\u00edtimo de <strong>MeshAgent<\/strong> para mantener el control remoto.<\/p>\n<h2>Contexto hist\u00f3rico: de la explotaci\u00f3n inicial a la reivindicaci\u00f3n del FBI<\/h2>\n<p>La actividad actual es la prolongaci\u00f3n de una serie que comenz\u00f3 el 10 de junio, cuando la banda aprovech\u00f3 una vulnerabilidad de d\u00eda cero para robar datos de cien organizaciones. Al d\u00eda siguiente, Oracle public\u00f3 un parche urgente y asign\u00f3 el identificador CVE-2026-35273, defini\u00e9ndolo como un fallo de ejecuci\u00f3n remota de c\u00f3digo no autenticado. Ese mismo d\u00eda, Google confirm\u00f3 que ShinyHunters estaba atacando el sector educativo. La primera recomendaci\u00f3n consisti\u00f3 en bloquear externamente el endpoint <strong>PSEMHUB<\/strong> mediante un WAF.<\/p>\n<p>En septiembre, el grupo afirm\u00f3 que hab\u00eda vuelto a comprometer servidores PeopleSoft para acceder a los sistemas del FBI, incluyendo la plataforma de empleo FBI Jobs y parte de la infraestructura en AWS GovCloud. Esas afirmaciones no han sido verificadas de forma independiente, y el FBI declar\u00f3 que investigaba la posible actividad no autorizada. No obstante, ShinyHunters confirm\u00f3 haber usado esta misma t\u00e9cnica de evasi\u00f3n de WAF contra FBI Jobs, aunque mantiene que tambi\u00e9n explot\u00f3 una vulnerabilidad desconocida adicional en el mismo componente PSEMHUB.<\/p>\n<p>La lecci\u00f3n estrat\u00e9gica de este episodio es inc\u00f3moda pero necesaria: los cortafuegos de aplicaciones son controles compensatorios que los atacantes estudian y superan con rapidez. La higiene de actualizaciones, la visibilidad sobre los registros y una postura defensiva en profundidad siguen siendo la salvaguarda real. A medida que ShinyHunters demuestra que puede adaptar sus herramientas a cada defensa, la comunidad de seguridad debe asumir que el siguiente avance de estas t\u00e9cnicas llegar\u00e1 antes de que muchas organizaciones hayan terminado de parchear los sistemas conocidos.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>La banda de extorsi\u00f3n ShinyHunters ha reanudado su explotaci\u00f3n masiva de la vulnerabilidad cr\u00edtica CVE-2026-35273 en Oracle PeopleSoft mediante una nueva t\u00e9cnica de evasi\u00f3n que anula las protecciones de los cortafuegos de aplicaciones web. Al emplear URLs con codificaci\u00f3n de caracteres, los atacantes consiguen que sus solicitudes lleguen al endpoint vulnerable sin ser bloqueadas por [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":69960,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/69958.png","fifu_image_alt":"ShinyHunters evade WAF con URL codificada para explotar Oracle PeopleSoft","footnotes":""},"categories":[5],"tags":[],"class_list":["post-69958","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/69958.png","fifu_image_alt":"ShinyHunters evade WAF con URL codificada para explotar Oracle PeopleSoft","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69958","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=69958"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69958\/revisions"}],"predecessor-version":[{"id":69959,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/69958\/revisions\/69959"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/69960"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=69958"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=69958"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=69958"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}