Хакеры ShinyHunters взломали сайт вымогателей Clop и грозят обобрать их самих

Издание BleepingComputer сообщает о необычном инциденте в мире киберпреступности: группировка ShinyHunters взломала сайт утечек данных банды вымогателей Clop (она же Cl0p), заменила его содержимое и заявила о краже серверной информации, а также закрытых ключей от onion-адреса жертвы.

Как всё произошло

По данным ShinyHunters, атака началась в ночь на пятницу. Злоумышленники воспользовались уязвимостью в Grav CMS, позволявшей без авторизации загружать файлы на сервер, и разместили на сайте Clop небольшой текстовый файл с посланием: «Этот сайт спалили ShinyHunters — может, не стоило в следующий раз нам угрожать». В файле была ссылка на собственный сайт утечек нападавших. BleepingComputer подтвердило, что документ действительно можно было скачать напрямую с Tor-сайта Clop.

Спустя несколько часов ShinyHunters сообщили, что «полностью дефейснули» ресурс. Вместо привычной страницы посетители увидели ASCII-арт с покемоном Umbreon — логотипом группировки — и подпись «рутим ваши системы с 2019 года ;)». Исследователь VXDB отметил, что то же изображение использовалось при взломе форума HackForums в августе 2020 года, который тоже приписывали ShinyHunters.

Что похищено

Атакующие утверждают, что получили «полный доступ» к серверу и выкачали исходный код, плагины Grav CMS, системные логи и содержимое каталога /var/log — там могут храниться журналы аутентификации и IP-адреса подключавшихся. Отдельно ShinyHunters заявляют, что заполучили закрытые ключи onion-сервиса Clop: если ключи действительно рабочие, группировка сможет поднять сайт по прежнему адресу уже на своих серверах. BleepingComputer подтвердило факт дефейса и загрузки файла, но не смогло независимо проверить утверждения о краже логов, исходников и ключей.

На вопрос о дальнейших планах представитель ShinyHunters ответил лаконично: «Будем их вымогать». Группа собирается опубликовать на своём сайте ультиматум с требованием к Clop связаться в течение 72 часов.

Вражда воров

Атаку ShinyHunters называют местью. По их версии, конфликт тянется с прошлогодней кампании Clop против Oracle E-Business Suite: в октябре 2025 года Clop эксплуатировали ряд уязвимостей, включая zero-day CVE-2025-61882, для кражи данных у организаций. ShinyHunters же вместе с «Scattered Lapsus$ Hunters» выложили PoC-эксплойт, который Oracle позже признала совпадающим с использованным в атаках. По словам ShinyHunters, эксплойт изначально принадлежал им, а Clop воспользовались им без спроса. Дальше, как утверждается, кто-то из Clop написал участникам ShinyHunters угрозы — вплоть до обещаний физической расправы. Проверить эти заявления изданию не удалось; за комментарием оно обратилось к самой Clop.

Источник: Bleeping Computer