ShinyHunters is binnengedrongen op de dark web-leksite van de Clop-ransomwarebende, waardoor een geschil tussen twee grote cybermisdaadgroepen wordt omgezet in een directe aanval op criminele infrastructuur. De afpersingsgroep heeft Clop’s Tor-website beschadigd en dreigt nu informatie die naar verluidt van de server is gestolen te gebruiken tegen haar rivaal.
De aanval begon vrijdag toen ShinyHunters beweerde een niet-geauthenticeerde kwetsbaarheid in het Grav-contentbeheersysteem te hebben ontdekt dat door Clop’s website wordt gebruikt. De groep toonde aanvankelijk toegang aan door een klein bestand op de server te plaatsen met een waarschuwing gericht aan Clop en een link naar ShinyHunters’ eigen leksite.
Enkele uren later werd het compromis veel zichtbaarder. Clop’s normale leksite werd vervangen door ShinyHunters-branding, waarmee werd bevestigd dat de aanvallers voldoende toegang hadden gekregen om de website te wijzigen in plaats van simpelweg een geïsoleerd bestand te uploaden.
ShinyHunters beweert dat de toegang aanzienlijk verder ging. De groep zegt broncode, website-plugins, systeemlogs en andere interne bestanden te hebben verkregen die op de gecompromitteerde server zijn opgeslagen, hoewel de diefstal van deze informatie niet onafhankelijk is bevestigd.
De aanvallers beweren ook privésleutels te hebben verkregen die gekoppeld zijn aan Clop’s Tor onion-dienst. Als het bezit van deze sleutels echt is, zou het mogelijk een andere operator in staat kunnen stellen de onion-identiteit op een andere infrastructuur te recreëren, wat extra problemen oplevert voor een cybercrimegroep die op haar dark web-adres vertrouwt om met slachtoffers te communiceren en gestolen informatie te publiceren.
Serverlogs kunnen bijzonder gevoelig zijn voor Clop omdat ze mogelijk records bevatten die verband houden met activiteiten op de website. ShinyHunters heeft gesuggereerd dat informatie van de server details over Clop’s operaties kan onthullen, maar wat precies de vermeend gestolen logs bevatten is niet openbaar bevestigd.
De aanval lijkt verband te houden met een bestaand conflict tussen de twee groepen. ShinyHunters zegt dat Clop eerder heeft gedreigd de identiteit van enkele leden te onthullen, terwijl ShinyHunters nu heeft gedreigd informatie over Clop’s infrastructuur en interne operaties prijs te geven.
Het meningsverschil zou zijn verergerd over een eerdere campagne met kwetsbaarheden in Oracle E-Business Suite. ShinyHunters beweert oorspronkelijk een kwetsbaarheid te hebben ontdekt die later door Clop werd gebruikt tijdens aanvallen op verschillende organisaties, hoewel de concurrerende accounts van de cybercrimegroepen niet volledig onafhankelijk kunnen worden vastgesteld.
Clop is uitgegroeid tot een van de meest prominente data-afpersingsoperaties via campagnes die zich richten op veelgebruikte bedrijfssoftware. Het gebruik van een kwetsbaarheid in MOVEit Transfer in 2023 trof honderden organisaties, terwijl de groep kwetsbaarheden in bedrijfssoftware blijft gebruiken om informatie te stelen en slachtoffers onder druk te zetten om te betalen.
ShinyHunters heeft in veel recente aanvallen een enigszins ander model gevolgd, waarbij de nadruk sterk ligt op het stelen van bedrijfsgegevens en inloggegevens voordat deze wordt gebruikt voor financiële afpersing. Beveiligingsonderzoekers hebben een bredere verschuiving gezien onder cybercriminele groepen richting datadiefstal zonder noodzakelijkerwijs de computers van slachtoffers te versleutelen.
Directe aanvallen tussen gevestigde cybercrimegroepen komen minder vaak voor dan aanvallen op bedrijven en overheidsorganisaties. In dit geval wordt hetzelfde soort druk dat normaal gesproken op bedrijfsslachtoffers wordt gericht op een andere afpersingsoperatie, waarbij mogelijk gevoelige informatie als drukmiddel wordt gebruikt.
De leksite van Clop was niet beschikbaar toen Reuters zondag probeerde toegang te krijgen, terwijl ShinyHunters publiekelijk beweerde uitgebreide controle te hebben gekregen over de infrastructuur van de rivaliserende groep. Clop heeft niet publiekelijk gereageerd op de beschuldigingen, en de vermeende diefstal van interne bestanden en Tor-privésleutels is nog steeds niet geverifieerd.