SecAtor

Не успели Clop’ы поживиться новыми жертвами: ShinyHunters взломала сайт DLS группировки, произвела дефейс и, предположительно, украла данные серверов и закрытые ключи для onion-сервиса. Атака началась в пятницу вечером. ShinyHunters воспользовались, по всей видимости , уязвимостью в системе управления контентом Grav, позволяющей загружать файлы без аутентификации, и загрузили небольшой текстовый файл на сайт Clop. Небольшой текстовый файл содержал сообщение от злоумышленников, адресованное группе вымогателей Clop, с предупреждением перестать им угрожать и ссылкой на собственный сайт DLS ShinyHunter. Несколько часов спустя ShinyHunters сообщили, что «полностью взломали» сайт Clop. Действительно, сайт был заменен страницей с ASCII-изображением Умбреона, покемона, используемого в качестве логотипа ShinyHunters. В результате взлома также появилась ссылка на сайт группы в сети Tor и сообщение: «Получаю root-права на ваших системах с 2019 года ;)». Если верить ShinyHunters, взломанная страница по-прежнему обслуживается инфраструктурой Clop. Хакеры при этом отметили, что получили «полный доступ» к серверу и выкрали исходный код, плагины для Grav CMS, системные журналы и другие данные. Она также утверждают, что похитили все файлы, хранящиеся в папке /var/log, которые могут содержать информацию о системной активности, журналы аутентификации и, возможно, IP тех, кто к ней подключался. ShinyHunters также утверждают, что получили закрытые ключи, используемые сервисом Tor Onion для размещения того же самого URL-адреса Onion. Если ключи действительны, это позволит злоумышленникам управлять сайтом Tor, используя существующий онион-адрес Clop на серверах, которые они контролируют. Однако если факт взлома и загрузки файла на сайт подтверждается, то заявления ShinyHunters о краже серверных логов, исходного кода или закрытых ключей Onion от Clop пока остаются лишь не более, чем заявлением. Тем не менее, в ближайшее время ShinyHunters намерены выложить на свой DLS Clop в качестве жертвы и обозначить сумму выкупа. Исследователь VXDB отмечает, что изображение Умбреона, отображаемое сейчас на сайте Clop, идентично тому, что использовалось при взломе HackForums в августе 2020 года, на который тогда же претендовали ShinyHunters. Как заверяют сами ShinyHunters атака является местью за угрозы, якобы высказанные представителем Clop в ходе продолжающегося конфликта между группировками. Представитель Clop якобы угрожал раскрыть личности членов группы и навалять (или даже завалить) им после того, как ShinyHunters пресекли кампанию Clop по краже данных, связанную с Oracle E-Business Suite в 2025 году. Тогда Clop задействовали многочисленные уязвимости в серверах Oracle E-Business Suite, включая 0-day (CVE-2025-61882) для кражи данных у организаций по всему миру. Примерно в то же время злоумышленники из Scattered Lapsus$ Hunters, включая ShinyHunters, представили эксплойт, который, как позже подтвердила Oracle, совпал с эксплойтом, использованным в атаках Clop. В то время ShinyHunters заверяли, что эксплойт изначально принадлежал им, а Clop получил его без разрешения. В общем, будем следить.