ShinyHunters взломали Clop. Что теперь с жертвами Clop?

4 минуты чтенияИсточник: winhorse через Getty ImagesShinyHunters, похоже, взломали конкурирующую группу программ-вымогателей Clop на прошлой неделе, и этот инцидент может создать дополнительные риски для жертв, оказавшихся в центре событий. ShinyHunters — это группа киберпреступников, мотивированная финансовой выгодой, известная прежде всего кражей данных и атаками с вымогательством. Идентичность группы становится все более изменчивой, исследователи наблюдают связи и сотрудничество с киберпреступниками, связанными с коллективами Scattered Spider и Lapsus$. Clop, в свою очередь, является известной группой программ-вымогателей, наиболее известной своими масштабными кампаниями по вымогательству данных, особенно с использованием уязвимостей нулевого дня. Участники Clop стояли за масштабной кампанией 2023 года, которая использовала уязвимость нулевого дня в программном обеспечении передачи файлов MOVEit от Progress Software, а также за аналогичной кампанией, нацеленной на уязвимость Fortra GoAnywhere в том же году.На выходных ShinyHunters осквернили сайт утечки данных Clop в Темной сети с сообщением: "ДОМЕН ЗАХВАЧЕН SHINYHUNTERS." Как впервые сообщило BleepingComputer, ShinyHunters утверждали, что атака началась в пятницу вечером, когда они использовали уязвимость неаутентифицированной загрузки файлов в Grav CMS, используемом сайтом утечки Clop. Связанные темы:Киберпреступники прячут новое вредоносное ПО в торрентах для популярных фильмовShinyHunters против Clop: конфликт киберпреступниковShinyHunters утверждали, что получили полный доступ к серверу сайта утечки Clop и украли исходный код, плагины Grav CMS, системные журналы, закрытые ключи для его Onion-сервиса и другие данные. Эти обвинения в краже данных не были независимо проверены.Нападавшие продолжали оставлять сообщения на сайте Clop, насмехаясь над группой программ-вымогателей и пытаясь вымогать у нее деньги. 19 сентября сообщение, приписываемое ShinyHunters, потребовало неопределенную сумму в восемь цифр в биткойнах и предложило Clop связаться с адресом Onionmail. 20 сентября нападавшие написали на странице Clop: "Я хочу все деньги, которые вы заработали на кампании EBS, плюс больше И С УЧЕТОМ ПРОЦЕНТОВ, прежде чем я начну публиковать информацию о компаниях, которые вам заплатили, сколько и на какой биткойн-адрес."Ссылка на "EBS" вероятно относится к кампании вымогательства Clop, нацеленной на клиентов, пострадавших от критической уязвимости нулевого дня Oracle E-Business Suite (EBS) CVE-2025-61882 прошлой осенью. Публичные конфликты и атаки между группами киберпреступников не являются редкостью; ранее в этом году две новые группы программ-вымогателей, 0APT и KryBit, взломали друг друга и утекли внутренние данные.Что насчет жертв программ-вымогателей?Усилия ShinyHunters, похоже, пока не привели к выплате, так как сообщение о порче содержало заметку с сегодняшней датой. "Каждые 24 часа, когда вы не взаимодействуете с нами, требования увеличиваются. Теперь требование включает обязательные публичные извинения, выданные непосредственно мне," — гласила последняя заметка. Связанные темы:Vectra AI запускает Ascent, чтобы помочь справиться с новой эпохой атак на основе ИИТем не менее, Dark Reading подтвердил, что на момент написания этого текста сайт утечки Clop удалил сообщение о порче и теперь отображает текстовую заметку, возможно, от самого Clop, утверждающую, что адрес электронной почты ShinyHunters не работает. С одной стороны, конфликты между киберпреступниками можно рассматривать как положительные, потому что, как отметил Питер Арнтц из Malwarebytes в блоге, "Хорошая новость заключается в том, что пока они ссорятся друг с другом, у них, вероятно, меньше времени на атаки на легитимные бизнесы."С другой стороны, неизвестно, получила ли ShinyHunters какую-либо информацию о жертвах Clop. На данный момент ShinyHunters не предоставила доказательства того, что у нее есть эти данные. Тем не менее, ShinyHunters уже угрожали опубликовать информацию о компаниях, которые якобы заплатили Clop, включая суммы платежей и биткойн-адреса. Если ShinyHunters получит дополнительную информацию, связанную с жертвами Clop, эти организации могут столкнуться с дальнейшим риском или даже новыми попытками вымогательства. Джон Бейкер, вице-президент по защите от угроз в AttackIQ, говорит Dark Reading, что пока нет доказательств того, что ShinyHunters действительно получила файлы жертв Clop, но более важный момент заключается в том, что "украденная информация не исчезает." Связанные темы:Опрос EY показывает, что внедрение автономного ИИ опережает контроль"[Украденные данные] находятся на серверах, управляемых оригинальной группой, ее аффилированными лицами и поставщиками инфраструктуры, и каждая копия — это еще одна возможность для кражи, перепродажи или утечки," — говорит он. "Компания может потратить годы, неся ответственность за данные, которые она больше не может найти или контролировать."Аналогично, Даррен Гуччоне, генеральный директор и соучредитель Keeper Security, сказал, что основная проблема заключается в том, что "вы не можете полагаться на преступников, чтобы они соблюдали соглашения," даже если вы заплатили выкуп. "Платеж за удаление предполагает, что преступник уничтожит данные, но вы ведете переговоры с кем-то, чья бизнес-модель — обман и кража," — говорит Гуччоне. "Как только данные покидают контроль организации, нет механизма, чтобы подтвердить, что они были уничтожены, нет аудиторского следа и нет возможности, если обещание будет нарушено."Остается увидеть, действительно ли ShinyHunters получила информацию о жертвах Clop или нет. Тем не менее, этот публичный конфликт иллюстрирует риск, который начинается в момент эксфильтрации данных: организация может оставаться ответственной за информацию, которая теперь хранится на инфраструктуре, которую она не может защитить, провести аудит или даже найти.Об автореСтарший новостной писатель, Dark ReadingАлекс — лауреат премий писатель, журналист и ведущий подкастов, проживающий в Бостоне. После того как он начал свою карьеру, пиша для независимых игровых изданий в подростковом возрасте, он окончил Эмерсонский колледж в 2016 году со степенью бакалавра наук в области журналистики. Ранее он публиковался на VentureFizz, Search Security, Nintendo World Report и других ресурсах. В Dark Reading он освещает различные темы кибербезопасности, включая экосистему киберпреступности, безопасность с открытым исходным кодом и пересечение между ИИ и угрозами. В свободное время Алекс ведет еженедельный подкаст Nintendo "Talk Nintendo Podcast" и работает над личными писательскими проектами, включая два ранее самопубликованных научно-фантастических романа. Он получил множество наград, включая TechTarg.