ShinyHunters ha violato il sito di fuga di notizie del dark web gestito dalla gang ransomware Clop, trasformando una disputa tra due grandi gruppi di criminalità informatica in un attacco diretto alle infrastrutture criminali. Il gruppo di estorsione ha deturpato il sito Clop Tor e ora minaccia di utilizzare informazioni presumibilmente rubate dal server contro il suo rivale.
L’attacco è iniziato venerdì quando ShinyHunters afferma di aver scoperto una vulnerabilità nel caricamento di file non autenticati nel sistema di gestione dei contenuti Grav utilizzato dal sito web di Clop. Il gruppo ha inizialmente dimostrato l’accesso inserendo un piccolo file sul server contenente un avviso rivolto a Clop e un link al sito di fuga di notizie di ShinyHunters.
Diverse ore dopo, il compromesso è diventato molto più visibile. Il normale sito di fuga di notizie di Clop è stato sostituito con il marchio ShinyHunters, confermando che gli aggressori avevano avuto abbastanza accesso da modificare il sito invece di caricare semplicemente un file isolato.
ShinyHunters sostiene che il suo accesso sia andato molto oltre. Il gruppo afferma di aver ottenuto codice sorgente, plugin per siti web, log di sistema e altri file interni memorizzati sul server compromesso, anche se il furto di queste informazioni non è stato confermato in modo indipendente.
Gli aggressori affermano inoltre di aver ottenuto chiavi private associate al servizio onion Tor di Clop. Se autentico, il possesso di queste chiavi potrebbe potenzialmente permettere a un altro operatore di ricreare l’identità onion su infrastrutture diverse, creando ulteriori problemi per un gruppo di criminalità informatica che si basa sul proprio indirizzo del dark web per comunicare con le vittime e pubblicare informazioni rubate.
I log del server potrebbero essere particolarmente sensibili per Clop perché potrebbero contenere registrazioni collegate ad attività sul sito web. ShinyHunters ha suggerito che informazioni prese dal server potrebbero rivelare dettagli sulle operazioni di Clop, ma non è stato verificato pubblicamente cosa contengano i presunti log rubati.
L’attacco sembra essere collegato a una disputa esistente tra i due gruppi. ShinyHunters afferma che Clop aveva precedentemente minacciato di rivelare l’identità di alcuni suoi membri, mentre ora ha minacciato di rivelare informazioni sull’infrastruttura e le operazioni interne di Clop.
Il disaccordo si sarebbe intensificato a causa di una precedente campagna che coinvolgeva vulnerabilità in Oracle E-Business Suite. ShinyHunters sostiene di aver originariamente scoperto una vulnerabilità che è stata successivamente utilizzata da Clop durante attacchi contro numerose organizzazioni, anche se gli account concorrenti dei gruppi di criminalità informatica non possono essere accertati in modo indipendente in modo completo.
Clop è diventata una delle operazioni di estorsione dati più importanti attraverso campagne rivolte a software aziendale ampiamente utilizzato. Il suo sfruttamento nel 2023 di una vulnerabilità in MOVEit Transfer ha colpito centinaia di organizzazioni, mentre il gruppo ha continuato a utilizzare vulnerabilità nel software aziendale per rubare informazioni e mettere pressione sulle vittime affinché paghi.
ShinyHunters ha seguito un modello leggermente diverso in molti attacchi recenti, concentrandosi fortemente sul furto di dati e credenziali aziendali prima di utilizzare tali informazioni per estorsione finanziaria. I ricercatori di sicurezza hanno osservato un cambiamento più ampio tra i gruppi di criminali informatici verso il furto di dati senza necessariamente criptare i computer delle vittime.
Gli attacchi diretti tra gruppi di criminalità informatica consolidati sono meno comuni rispetto agli attacchi contro aziende e organizzazioni governative. In questo caso, lo stesso tipo di pressione normalmente rivolta alle vittime aziendali viene rivolto contro un’altra operazione di estorsione, con informazioni potenzialmente sensibili utilizzate come leva.
Il sito di fuga di notizie di Clop non era disponibile quando Reuters ha tentato di accedervi domenica, mentre ShinyHunters ha dichiarato pubblicamente di aver ottenuto un ampio controllo sull’infrastruttura del gruppo rivale. Clop non ha risposto pubblicamente alle accuse e il presunto furto dei suoi file interni e delle chiavi private di Tor rimane non verificato.