Een vermoedelijk lid van de ShinyHunters-hackgroep is vastgehouden in Jordanië en werkt naar verluidt samen met de FBI terwijl onderzoekers hun inspanningen intensiveren om andere mensen te identificeren die betrokken zijn bij de cybercrime-operatie.
De verdachte is door bronnen geïdentificeerd als Saif al-Din Khader, die naar verluidt online bekend staat als “Rey.” De Jordaanse autoriteiten hielden hem eind september vast, en functionarissen in het land hebben sindsdien bevestigd dat een vermoedelijk lid van de hackgroep wordt onderzocht.
Bronnen die bekend zijn met de zaak zeggen dat Khader nu de FBI en andere wetshandhavingsinstanties helpt om extra hackers te vinden die met ShinyHunters geassocieerd zijn. Naar verluidt heeft hij onderzoekers voorzien van elektronische apparaten en digitale communicatie die kunnen helpen andere betrokkenen te identificeren.
De precieze omstandigheden rond zijn detentie blijven onduidelijk. De autoriteiten hebben niet publiekelijk uitgelegd welke aanklachten, indien aanwezig, Khader momenteel wordt geconfronteerd, waar hij wordt vastgehouden of welke afspraken mogelijk zijn gesloten over zijn vermeende samenwerking.
De FBI heeft ook vermeden om over de individuele zaak te praten. Het bureau zei dat het het recente cyberincident waarbij ShinyHunters betrokken zou zijn blijven actief blijven onderzoeken en al met internationale partners heeft samengewerkt om meerdere verdachten te arresteren.
Khader is eerder in verband gebracht met verschillende prominente delen van het cybercrime-ecosysteem. Onder de alias Rey is hij door beveiligingsonderzoekers en journalisten geïdentificeerd als een figuur verbonden aan ShinyHunters en de bredere Scattered LAPSUS$ Hunters-gemeenschap.
Hij is ook in verband gebracht met het beheer van cybercrimeplatforms, waaronder een incarnatie van BreachForums en de leksite die wordt beheerd door de Hellcat-ransomwaregroep. Deze connecties illustreren de steeds vager wordende grenzen tussen hackgroepen, dataleksites en online gemeenschappen die worden gebruikt om gestolen informatie te verhandelen.
Zijn detentie vindt plaats tijdens een escalerend internationaal onderzoek naar ShinyHunters. De groep trok onlangs bijzondere aandacht nadat ze verantwoordelijkheid opeiste voor het compromitteren van de wervingswebsite van de FBI en het stelen van een grote verzameling informatie over medewerkers en sollicitanten van het bureau.
ShinyHunters beweerde tussen de twee en drie terabytes aan data te hebben verkregen. De volledige omvang van die collectie is niet onafhankelijk bevestigd, maar materiaal dat tijdens de rapportage werd onderzocht bevatte zeer gevoelige persoonlijke informatie die verband hield met FBI-personeel.
De FBI erkende ongeoorloofde activiteiten waarbij FBIJobs.gov betrokken was en startte een onderzoek. De ernst van het incident werd duidelijker toen een interne memo van het bureau naar verluidt het personeel instrueerde om ervan uit te gaan dat personeelsinformatie was blootgelegd.
Khaders detentie volgt op een andere belangrijke ontwikkeling in het onderzoek. De Nederlandse politie arresteerde op 15 september een 24-jarige man uit Amsterdam op verdenking van betrokkenheid bij ShinyHunters.
De FBI omschreef de verdachte als een van de vermeende leiders van de groep en zei dat ShinyHunters en zijn medesamenzweerders sinds vorig jaar meer dan 140 organisaties hadden binnengehaald en minstens 70 miljoen dollar aan afpersingsbetalingen hadden geïnd. ShinyHunters heeft de karakterisering van de Nederlandse verdachte door de FBI afgewezen en ontkent dat hij deel uitmaakt van de huidige operatie.
De groep blijft zich actief presenteren ondanks de arrestaties. De dark-web website verdween tijdelijk voordat deze weer opdook op een nieuw adres, waarbij ShinyHunters zei dat de infrastructuur was verplaatst vanwege technische problemen en DDoS-aanvallen in plaats van een inbeslagname van de politie.
De gerapporteerde samenwerking van Khader kan belangrijker blijken dan het verlies van een website. Toegang tot de apparaten, communicatie en kennis van andere deelnemers van een vermoedelijk lid kan onderzoekers informatie geven over identiteiten en relaties die normaal gesproken verborgen zijn achter aliassen en anonieme online infrastructuur.