Не успели Clop’ы поживиться новыми жертвами: ShinyHunters взломала сайт DLS группировки, произвела дефейс и, предположительно, украла данные серверов и закрытые ключи для onion-сервиса.

Атака началась в пятницу вечером. ShinyHunters воспользовались, по всей видимости , уязвимостью в системе управления контентом Grav, позволяющей загружать файлы без аутентификации, и загрузили небольшой текстовый файл на сайт Clop.

Небольшой текстовый файл содержал сообщение от злоумышленников, адресованное группе вымогателей Clop, с предупреждением перестать им угрожать и ссылкой на собственный сайт DLS ShinyHunter.

Несколько часов спустя ShinyHunters сообщили, что «полностью взломали» сайт Clop.

Действительно, сайт был заменен страницей с ASCII-изображением Умбреона, покемона, используемого в качестве логотипа ShinyHunters. В результате взлома также появилась ссылка на сайт группы в сети Tor и сообщение: «Получаю root-права на ваших системах с 2019 года ;)».

Если верить ShinyHunters, взломанная страница по-прежнему обслуживается инфраструктурой Clop. Хакеры при этом отметили, что получили «полный доступ» к серверу и выкрали исходный код, плагины для Grav CMS, системные журналы и другие данные.

Она также утверждают, что похитили все файлы, хранящиеся в папке /var/log, которые могут содержать информацию о системной активности, журналы аутентификации и, возможно, IP тех, кто к ней подключался.

ShinyHunters также утверждают, что получили закрытые ключи, используемые сервисом Tor Onion для размещения того же самого URL-адреса Onion.

Если ключи действительны, это позволит злоумышленникам управлять сайтом Tor, используя существующий онион-адрес Clop на серверах, которые они контролируют.

Однако если факт взлома и загрузки файла на сайт подтверждается, то заявления ShinyHunters о краже серверных логов, исходного кода или закрытых ключей Onion от Clop пока остаются лишь не более, чем заявлением.

Тем не менее, в ближайшее время ShinyHunters намерены выложить на свой DLS Clop в качестве жертвы и обозначить сумму выкупа.

Исследователь VXDB отмечает, что изображение Умбреона, отображаемое сейчас на сайте Clop, идентично тому, что использовалось при взломе HackForums в августе 2020 года, на который тогда же претендовали ShinyHunters.

Как заверяют сами ShinyHunters атака является местью за угрозы, якобы высказанные представителем Clop в ходе продолжающегося конфликта между группировками.

Представитель Clop якобы угрожал раскрыть личности членов группы и навалять (или даже завалить) им после того, как ShinyHunters пресекли кампанию Clop по краже данных, связанную с Oracle E-Business Suite в 2025 году.

Тогда Clop задействовали многочисленные уязвимости в серверах Oracle E-Business Suite, включая 0-day (CVE-2025-61882) для кражи данных у организаций по всему миру.

Примерно в то же время злоумышленники из Scattered Lapsus$ Hunters, включая ShinyHunters, представили эксплойт, который, как позже подтвердила Oracle, совпал с эксплойтом, использованным в атаках Clop. В то время ShinyHunters заверяли, что эксплойт изначально принадлежал им, а Clop получил его без разрешения.

В общем, будем следить.