ShinyHunters взломали сайт утечек Clop через уязвимость в Grav CMS

Группировка Clop, известная по вымогательским атакам, перенесла свой сайт утечек на новый адрес в сети Tor. Причиной стал взлом прежнего сервера: ресурс был скомпрометирован и обезображен через уязвимость в системе управления контентом Grav CMS, которую так и не закрыли обновлением. Как выяснило издание BleepingComputer, речь идёт об уязвимости обхода пути (path traversal), не требующей аутентификации.

Взлом провела другая вымогательская группа — ShinyHunters. Сначала злоумышленники загрузили на сайт небольшой текстовый файл, а затем заменили страницу на полноэкранный дефейс с логотипом покемона Умбреона и ссылкой на собственный сайт утечек. Позже ShinyHunters заявили, что похитили исходный код, плагины Grav, серверные логи и приватные ключи от onion-сервиса Clop в Tor, после чего выдвинули требование выкупа под угрозой публикации украденного.

Отрицание и споры о добыче

Clop сообщила о новом onion-адресе, отметив, что старый временно останется доступен, а затем будет выведен из эксплуатации. Группа отрицает какие-либо отношения или переговоры с ShinyHunters: «Мы их не знаем, никогда с ними не работали и сейчас не контактируем; более того, мы не передавали им никакой информации и не будем делать этого — ни сейчас, ни в будущем».

При этом Clop признала, что её установка Grav не была полностью обновлена, но оспаривает ценность похищенного: по словам вымогателей, на сервере не было ничего, кроме контента, — ни данных, ни финансовой активности, а значит, заявления ShinyHunters «ничего не стоят». Любопытно, что вскоре Clop тихо исчезла со списка жертв на сайте ShinyHunters — так обычно бывает при ведущихся переговорах. Отвечать на вопросы об этом ShinyHunters отказались.

Разработчики Grav подтвердили уязвимость

Скомпрометированный сервер работал на Grav CMS 1.7.43. По словам ShinyHunters, уязвимость крылась в обработке загрузки файлов через формы: значения из POST-параметров использовались при создании временных каталогов без проверки на безопасность пути. Подставив в параметр __unique_form_id__ последовательности вида ../../../shhq, атакующий мог заставить Grav создать каталог за пределами tmp/forms и записать загружаемый файл в другое место установки.

Получив технические детали, разработчики Grav подтвердили точность описания. Уязвимость получила идентификатор CVE-2026-42608; её приватно сообщили и исправили в Grav 2.0 (2.0.0-beta.2) ещё в начале года — соответствующее уведомление вышло 27 апреля. Исправление добавило функцию sanitizeId(), принимающую только идентификаторы по белому списку [A-Za-z0-9,_-]{1,64}.

Проблема в том, что заплатку не перенесли в старую ветку 1.7, из-за чего установки вроде Clop оставались уязвимы. После обращения BleepingComputer разработчики выпустили Grav 1.7.53.4 с исправлением. Уязвимость находится в ядре Grav, а не в плагине форм, поэтому его версия роли не играет. Всем, кто ещё использует ветку 1.7, настоятельно рекомендуют обновиться.

Источник: Bleeping Computer