Oracle E-Business Suiteを狙う大規模なサイバー攻撃キャンペーン|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年10月09日更新日時: 2025年10月09日

CrowdStrikeは、Oracle E-Business Suite（EBS）を標的にした大規模な侵害キャンペーンを確認し、その根幹に未公開ゼロデイとして始まった脆弱性（現在はCVE-2025-61882として公開・修正済み）が悪用されていると報告しました。

初期の悪用は2025年8月9日に遡る可能性があり、10月3日のPoC（概念実証）公開とパッチ提供により、EBSに習熟した攻撃者による武器化PoCの横展開が加速するとの見立てです。攻撃の主導役として、過去に公開系アプリの一斉悪用で知られるGRACEFUL SPIDERの関与を「中程度の確度」で示唆しつつ、複数の攻撃者が同時期に同脆弱性を突いている可能性も排除していません。

概要

2025年9月下旬、ロシア系のハッカーグループ GRACEFUL SPIDERは複数組織に対し「EBSからデータを取得した」とするメールを送りつけました。

その後、SCATTERED SPIDERやShinyHuntersらの名が出入りするTelegramチャネルで

EBS向けエクスプロイトと称するコード（SHA256: 76b6d36e04e367a2334c445b51e1ecce97e4c614e88dfb4f72b104ca0f31235d）が投稿され、

OracleはCVE-2025-61882の公開時にIOCとして同ハッシュを示しました。

Oracleのアドバイザリは「野放し悪用」の明示まではしていないものの、IP・コマンド・ファイルといった具体的IOCを併記しており、CrowdStrikeの観測とも符合します。

影響とリスク

CVE-2025-61882はOracle EBSにおける未認証RCEに該当し、認証なし・低複雑度・ユーザー操作不要の条件が重なることで、インターネットに公開されたEBSインスタンスに対し即時かつ横断的な侵害を許し得ます。

侵害後は、データ流出、リモート管理ツールの展開、横移動、バックドア設置までが短時間で達成され、EBSが抱える業務データの集中性ゆえに、組織への事業影響が拡大しやすい点が特徴です。

脅威アクターの構図

被害組織に送られた脅迫・告知メールには、GRACEFUL SPIDERの既知の送信元（support[@]pubstorm[.]com など）やランサムウェアグループ Clopの呼称が含まれており、大規模なインターネット露出アプリの一斉悪用という同グループの常套手口とも整合します。

一方で、Telegramでの活動から別のハッカーグループが同時に悪用している可能性も残ります。パッチ公開とPoC拡散を受け、標的型から機会型へ悪用様式が移行するリスクは極めて高いと見られます。

技術的な侵害チェーン

攻撃はまず、/OA_HTML/SyncServletへのHTTP POSTで認証回避を引き起こす段階から始まります。確認事例の中には、EBS内の管理者アカウントの取り回しに結びつくケースもありました。次に、攻撃者はXML Publisher（BI Publisher）Template Managerを悪用し、/OA_HTML/RF.jspや/OA_HTML/OA.jspに対してGET/POSTを送って悪性XSLTテンプレートをアップロード、テンプレートのプレビュー操作をトリガにコマンド実行を達成します。

テンプレートのエントリはDBテーブルxdo_templates_vlのTemplateCode参照と整合しており、実行に成功するとJava Webサーバープロセスから攻撃者配下のインフラへ443/TCPで外向き通信が発生します。

多くの事案では、この外向き通信を足がかりにWebシェルがロードされ、コマンド実行と永続化に使われていました。

別のケースでは、FileUtils.javaがダウンローダ、Log4jConfigQpgsubFilter.javaがバックドアとして振る舞い、doFilter/フィルタチェーン経由で常駐コードを呼び出せるよう細工され、/OA_HTML/help/state/content/destination./navId.1/navvSetId.iHelp/といった公開エンドポイントへのアクセスがメモリ常駐シェルの起動契機になっていました。

CrowdStrikeは、この一連の未認証RCE（CVE-2025-61882）が今回のマス侵害のコアにあると高い確度で評価しています。

出典

CrowdStrike Identifies Campaign Targeting Oracle E-Business Suite via Zero-Day Vulnerability (now tracked as CVE-2025-61882)