ShinyHunters, Clop fidye yazılımı çetesinin işlettiği karanlık ağ sızıntı sitesine sızdı ve iki büyük siber suç grubu arasındaki anlaşmazlığı suç altyapısına doğrudan saldırıya dönüştürdü. Şantaj grubu, Clop’un Tor web sitesini tahrip etti ve şimdi sunucudan çalındığı iddia edilen bilgileri rakibine karşı kullanmakla tehdit ediyor.
Saldırı, Cuma günü ShinyHunters’ın Clop’un web sitesinde kullanılan Grav içerik yönetim sisteminde kimlik doğrulamasız bir dosya yükleme açığı keşfettiğini iddia etmesiyle başladı. Grup, başlangıçta Clop’a yönelik bir uyarı ve ShinyHunters’ın kendi sızıntı sitesine bağlantı içeren küçük bir dosyayı sunucuya yerleştirerek erişim gösterdi.
Birkaç saat sonra, tehlike çok daha görünür hale geldi. Clop’un normal sızıntı sitesi ShinyHunters markasıyla değiştirildi; bu da saldırganların sadece izole bir dosya yüklemek yerine web sitesini değiştirmek için yeterli erişim sağladığını doğruladı.
ShinyHunters, erişiminin çok daha ileri gittiğini iddia ediyor. Grup, ele salınan sunucuda depolanan kaynak kodu, web sitesi eklentileri, sistem kayıtları ve diğer dahili dosyaları elde ettiğini söylüyor, ancak bu bilgilerin çalınması bağımsız olarak doğrulanmadı.
Saldırganlar ayrıca Clop’un Tor onion hizmetiyle ilişkili özel anahtarları ele geçirdiklerini iddia ediyor. Eğer gerçekse, bu anahtarlara sahip olmak başka bir operatörün onion kimliğini farklı altyapıda yeniden yaratmasına olanak tanıyabilir ve mağdurlarla iletişim kurmak ve çalınan bilgileri yayınlamak için karanlık web adresine güvenen bir siber suç grubu için ek sorunlar yaratabilir.
Sunucu kayıtları, web sitesindeki faaliyetlerle bağlantılı kayıtlar içerebileceği için Clop için özellikle hassas olabilir. ShinyHunters, sunucudan alınan bilgilerin Clop’un operasyonlarıyla ilgili detayları ortaya çıkarabileceğini öne sürdü, ancak iddia edilen kayıtların tam olarak ne içerdiği kamuoyuna doğrulanmadı.
Saldırı, iki grup arasındaki mevcut bir anlaşmazlıkla bağlantılı görünüyor. ShinyHunters, Clop’un daha önce bazı üyelerinin kimliklerini açıklamakla tehdit ettiğini, ShinyHunters’ın ise Clop’un altyapısı ve iç operasyonlarıyla ilgili bilgileri ifşa etmekle tehdit ettiğini söylüyor.
Anlaşmazlık, Oracle E-Business Suite’deki zafiyetlerle ilgili önceki bir kampanya nedeniyle daha da yoğunlaştı. ShinyHunters, başlangıçta bir zafiyet keşfettiğini ve bu zafiyetin daha sonra Clop tarafından birçok kuruluşa yönelik saldırılarda kullanıldığını iddia ediyor, ancak siber suç gruplarının rakip hesapları tam olarak bağımsız olarak kurulamıyor.
Clop, yaygın olarak kullanılan kurumsal yazılımları hedef alan kampanyalarla en önde gelen veri şantaj operasyonlarından biri haline geldi. 2023’te MOVEit Transfer’deki bir zafiyetin istismarı yüzlerce kuruluşu etkiledi; grup ise kurumsal yazılımdaki zafiyetleri kullanarak bilgi çalmaya ve mağdurları ödeme yapmaya zorlamaya devam etti.
ShinyHunters, son saldırılarda biraz farklı bir model izledi; kurumsal veriler ve kimlik bilgilerini çalmadan önce bu bilgileri finansal şantaj için kullanmaya odaklandı. Güvenlik araştırmacıları, siber suçlu grupları arasında mağdurların bilgisayarlarını şifrelemeden veri hırsızlığına doğru daha geniş bir kayma gözlemledi.
Yerleşik siber suç grupları arasındaki doğrudan saldırılar, şirketlere ve devlet kuruluşlarına yönelik saldırılardan daha az yaygındır. Bu durumda, genellikle kurumsal mağdurlara yönelik aynı baskı başka bir şantaj operasyonuna yöneltilmiş ve potansiyel hassas bilgiler koz olarak kullanılıyor.
Reuters Pazar günü Clop’un sızdırma sitesine erişim sağlanamadı, ShinyHunters ise rakip grubun altyapısı üzerinde geniş bir kontrol elde ettiğini kamuoyuna açıkladı. Clop iddialara kamuoyuna yanıt vermedi ve dahili dosyalarının ve Tor özel anahtarlarının çalındığı iddiası hâlâ doğrulanmadı.