Un ataque reciente, con características que recuerdan al grupo de ransomware Cl0p, ha comprometido a numerosas organizaciones explotando una vulnerabilidad zero-day en Oracle E-Business Suite (EBS). Según informes de Google Threat Intelligence Group (GTIG) y Mandiant, la explotación de la vulnerabilidad, identificada como CVE-2025-61882 (con una puntuación CVSS de 9.8), comenzó el 9 de agosto de 2025. Los atacantes combinaron diversas técnicas, incluyendo Server-Side Request Forgery (SSRF), Carriage-Return Line-Feed (CRLF) injection, bypass de autenticación e inyección de plantillas XSL, para lograr la ejecución remota de código en los servidores Oracle EBS y establecer un reverse shell. Se ha observado el uso de malware como GOLDVEIN.JAVA y SAGELEAF en los ataques. La campaña de extorsión se intensificó a partir del 29 de septiembre de 2025 con una campaña de correos electrónicos dirigidos a ejecutivos, utilizando cuentas de terceros comprometidas. Si bien aún no se atribuye formalmente el ataque a un grupo específico, se destaca la similitud con el modus operandi de Cl0p y FIN11. Oracle ha publicado los parches de seguridad correspondientes para mitigar esta vulnerabilidad.
Fuente original: Ver aquí