ФБР задержало ещё одного подозреваемого из ShinyHunters после взлома своих систем

Директор ФБР Кэш Пател объявил в пятницу о задержании ещё одного подозреваемого участника вымогательской группировки ShinyHunters, которую связывают с недавним взломом систем бюро.

«Наши агенты задержали ещё одного предполагаемого соучастника из группы ShinyHunters — той самой, что, как полагают, стоит за недавним инцидентом с FBIjobs.gov, произошедшим на платформе стороннего подрядчика», — написал Пател в соцсети X. По его словам, это уже не первый арест за последние дни в рамках операции по ликвидации сети злоумышленников.

Имя задержанного и предъявленные ему обвинения публично не раскрыты. По информации The New York Times, речь идёт о гражданине Канады, арестованном в штате Пенсильвания; его считают одним из главных соучастников вторжения.

Как произошёл взлом

В сентябре представители ShinyHunters рассказали BleepingComputer, что проникли в системы ФБР, использовав предполагаемую уязвимость нулевого дня в Oracle PeopleSoft, после чего перешли к инфраструктуре AWS GovCloud, находящейся в управлении бюро. Хакеры заявили о краже от 2 до 3 ТБ данных: сведений о нынешних и бывших сотрудниках, соискателях, медицинских и психиатрических записей, а также внутренних служебных материалов.

Образцы, переданные журналистам, подтвердили утечку домашних адресов, номеров социального страхования, данных о секретных назначениях и информации о членах семей сотрудников. Внутренняя записка бюро, по данным NYT, исходила из того, что инцидент затронул всех сотрудников. ФБР впоследствии заявило, что причиной стала платформа подрядчика, на которой не установили обновление безопасности.

Серия арестов

После взлома бюро резко усилило давление на группировку. 15 сентября полиция Нидерландов задержала 24-летнего жителя Амстердама Пепейна ван дер Стапа, известного под ником «Umbreon». ShinyHunters отрицали его причастность, заявив: «Он не имеет к нам отношения. Честно говоря, мы смеёмся».

Вскоре ФБР сделало необычный шаг, публично призвав участников группы сдаться. «Аресты меняют то, кто готов говорить, а изъятая инфраструктура показывает, кто остался, — предупредил замдиректора киберподразделения Бретт Лезерман. — Чем дольше вы в этом, тем больше мы о вас узнаём».

Через несколько дней в Иордании задержали подозреваемого под ником «Rey» — им оказался Саиф ад-Дин Хадер, который, по данным источников, начал сотрудничать со следствием.

Примерно тогда же главный представитель группировки, два года общавшийся с журналистами, перестал отвечать в Telegram, а его аккаунт был удалён. Сайт утечек ушёл в офлайн, однако позже появился новый — признак того, что часть участников сохраняет активность.

Кто такие ShinyHunters

ShinyHunters — вымогательская группа, крадущая данные из веб-приложений и облачных SaaS-сервисов и требующая выкуп под угрозой публикации. За последние годы под этим именем совершены атаки на Google, Cisco, PornHub и Match Group. Группа применяла голосовой фишинг против аккаунтов Okta, Microsoft и Google, а также стояла за майской атакой на Instructure Canvas.

«Мы продолжим подрывать то, что осталось от ShinyHunters, где бы они ни действовали», — заключил Пател.

Источник: Bleeping Computer