Хакеры-вымогатели устроили разборки и взломали ИТ-инфраструктуру конкурирующей группировки
Хакеры-вымогатели устроили разборки и взломали ИТ-инфраструктуру конкурирующей группировки Группировка ShinyHunters заявила о взломе и дефейсе сайта конкурирующих вымогателей cl0p. По словам самих ShinyHunters, доступ к инфраструктуре cl0p они получили через уязвимую функцию загрузки файлов в CMS Grav, на которой держался ресурс жертвы. 19 сентября вместо привычного контента посетители сайта cl0p увидели сообщение о захвате домена. Публичные разборки между заметными игроками теневого рынка случаются редко. Обычно киберпреступники бьют по компаниям, госструктурам и рядовым пользователям, а внутренние конфликты решают тихо, без сайтов-афиш. Тут вышло наоборот, одна банда буквально оставила визитку на территории другой. ShinyHunters рассказали Reuters, что проникли на ресурс cl0p 18 сентября, а на следующий день изменили содержимое главной страницы. Скрин дефейса успела сохранить исследовательская площадка eCrime.ch, пока оригинал ещё не пропал из выдачи: ▫️18 сентября ShinyHunters получили доступ к серверу cl0p через дыру в файловом загрузчике Grav; ▫️19 сентября на сайте cl0p появилась табличка о захвате домена; ▫️уязвимость, по данным Hackread, позволяла грузить файлы без авторизации; ▫️скрин дефейса сохранила площадка eCrime.ch, а сам сайт cl0p позже стал недоступен. Для российских компаний на самописных CMS или старых плагинных движках вроде Grav этот кейс звучит как предупреждение, а не чужая проблема. Дырявый загрузчик файлов без проверки прав, это классика, которую находят у десятков контор каждый год, в том числе отечественных. Стоит обратить внимание, конфликты между преступными группировками в даркнете случаются регулярно, они просто редко становятся публичными, заявил Брэндон Парсонс, менеджер по анализу угроз компании Ascent Solutions. Степень проникновения при этом остаётся спорной. Исследователи подтвердили только сам факт правки страницы, а вот более резкие заявления ShinyHunters о краже исходного кода, плагинов, системных журналов и ключей onion-сервиса пока не имеют независимых подтверждений: ▫️подтверждено изменение главной страницы сайта cl0p; ▫️не подтверждена кража исходного кода и плагинов Grav; ▫️не подтверждено получение системных журналов cl0p; ▫️не подтверждено получение ключей onion-сервиса площадки. У нынешнего дефейса, если верить ShinyHunters, есть долгие корни. Конфликт связывают с эксплойтом для Oracle E-Business Suite, который cl0p использовала против корпоративных систем в 2025 году. Это ранее неизвестная уязвимость, то есть zero-day, а такие баги высоко ценятся андеграундом, пока у вендора нет патча. По данным Reuters, через уязвимость EBS cl0p украла данные более чем у 100 организаций. ShinyHunters утверждают, что нашли этот эксплойт раньше конкурентов и считали его своим, но независимо подтвердить эту часть спора Reuters не удалось: ▫️осенью 2025 года ShinyHunters опубликовали эксплойт для Oracle EBS; ▫️после этого Oracle раскрыла уязвимости CVE-2025-61882 и CVE-2025-61884; ▫️исследователи VulnCheck связали активность с кампанией cl0p против пользователей EBS; ▫️cl0p, по данным Reuters, украла данные более чем у 100 организаций через эту дыру. Дальше спор пошёл по законам подполья. По версии ShinyHunters, cl0p угрожала раскрыть личности нескольких их участников, а в ответ ShinyHunters пообещала слить внутреннюю информацию о самой cl0p. Из словесной перепалки конфликт превратился в атаку на цифровую инфраструктуру, причём удар пришёлся не по случайной жертве, а по собственному ресурсу конкурирующей банды. Отмечается, что нынешний случай можно назвать необычным из-за открытого противостояния двух крупных групп, указал Джо Рузен, старший директор по исследованиям безопасности компании SpyCloud. 🔗 Другие новости про хакеров, мошенников, утечки, ИБ, ИИ и ИТ можно прочитать здесь