ShinyHunters захватили сайт связываемой с РФ группировки Clop

Хакерская группировка ShinyHunters заявила, что взломала сайт в Tor другой хакерской группировки Clop, разместив на нем сообщение о том, что ресурс захвачен. Об этом пишет Cybernews.

Ранее Clop атаковали Oracle E-Business Suite, обнаружив брешь, позволяющую выполнять код удаленно и без авторизации. Благодаря уязвимости хакеры крали персональные данные руководителей, а позже использовали их для вымогательства, требуя выкуп. SecPost выпускал об этом материал.

Группировку Clop связывают с российскими киберпреступниками, мотивацией которых служит получение финансовой выгоды. Хактивисты также фигурируют под названиями TA505 и FIN11. Группировка предлагает свои услуги по модели RaaS — ransomware-as-a-service. Так считают в «Лаборатории Касперского».

Хактивисты из ShinyHunters подчеркнули, что для компрометации сайта была использована уязвимость неаутентифицированной загрузки файлов в Grav CMS. В ходе компрометации был получен полный контроль над сервером, а также украдены исходные коды, плагины для Grav CMS и другие материалы.

Отдельно хактивисты выделили факт кражи всех файлов, хранящихся в каталоге /var/log сервера, которые могут включать записи системной активности, журналы аутентификации и IP-адреса, связанные с подключениями к серверу. Украденные же закрытые ключи для сервиса Tor Onion от скомпрометированных хакеров из Clop означают, что ShinyHunters контролирует закрытые ключи для размещения URL-адреса Onion.

В дальнейшем хакеры планируют запросить выкуп: у пострадавших хактивистов будет 72 часа, чтобы связаться с группой. Основной же причиной нападения названы угрозы со стороны Clop: члены ShinyHunters заявили, что Clop украли у них кампанию по взлому Oracle EBS, после чего один из хактивистов угрожал им расправой на русском.

Мнение эксперта

«Мы наблюдаем не „войну хакеров“, а естественный этап эволюции подпольного рынка, который переходит от конкуренции за жертв к конкуренции за инфраструктуру», — считает собеседник SecPost на ИБ-рынке. По мнению эксперта, ситуация, когда одни хакеры атакуют других, не является чем-то принципиально новым.

Собеседник редакции привел в пример кейсы 2025–2026 годов, когда фиксировались противостояния 0APT и KryBit, атаки DragonForce на BlackLock и Mamona. Тем не менее эксперт выделил, что масштаб и публичность нынешнего конфликта выделяются, поскольку ShinyHunters не просто вывели из строя чужой ресурс, а заявили о похищении исходного кода, логов и приватных ключей onion-сервиса.

При этом ИБ-эксперт считает, что, если последнее подтвердится, это будет означать возможность для ShinyHunters поднять собственный Tor-сайт по тому же адресу, что и у Clop. «Фактически это захват операционных активов. В подпольной экономике репутация — валюта, но инфраструктура — это средства производства», — объяснил собеседник. По мнению эксперта, тот, кто контролирует onion-адрес, контролирует и доступ к уже скомпрометированным данным, и возможность вести переговоры с жертвами от имени «оригинального» вымогателя.

При этом собеседник подчеркнул, что спор об авторстве zero-day уязвимости в Oracle E-Business Suite, которую, как заявляют в ShinyHunters, перехватили в Clop, — это спор об авторстве и правах на использование, решающийся дефейсом и угрозами раскрыть личность оппонентов.