Хакеры против хакеров: ShinyHunters взломали Cl0p и требуют выкуп
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Киберпреступники устроили разборку, достойную плохого криминального сериала: коллектив ShinyHunters, известный публикацией украденных данных, предположительно взломал вымогательскую группировку Cl0p. Теперь атакующие требуют выкуп за молчание и обещают выложить внутренние файлы конкурентов в подполье.
ShinyHunters добавили Cl0p на свой сайт утечек и дали группировке 72 часа на оплату. Сумма выкупа пока неизвестна. По предварительным данным, среди украденного — исходный код, плагины Grav CMS, системные журналы и другие данные с серверов Cl0p. Представители ShinyHunters заявили, что продолжают скачивать и изучать файлы.
Особое значение имеют материалы из каталога /var/log. В нём обычно хранятся записи активности системы, журналы авторизации и IP-адреса подключавшихся устройств. Такая информация может помочь защитникам нарушить инфраструктуру Cl0p, хотя сама по себе не гарантирует установления личностей участников группировки.
ShinyHunters также утверждают, что получили закрытые ключи Tor-сервиса Cl0p. Tor — сеть, позволяющая скрывать расположение серверов и личность пользователей. По словам атакующих, даже если Cl0p отключит их от своего сайта, они смогут разместить тот же onion-адрес, поскольку контролируют его закрытые ключи.
Кроме кражи данных, ShinyHunters изменили главную страницу сайта Cl0p. На ней появился ASCII-логотип ShinyHunters, ссылка на их Tor-сайт и насмешливое сообщение: «Этот сайт взломан ShinyHunters. В следующий раз, возможно, не стоит нам угрожать». Также на странице была фраза о том, что группировка «получает root-доступ к системам с 2019 года». Root-доступ означает полный контроль над сервером.
Предполагается, что речь идёт об угрозах, которые участник Cl0p якобы направил ShinyHunters после атак на Oracle E-Business Suite в 2025 году. По словам ShinyHunters, собеседник, переведя фразу с русского, заявил: «У меня больше денег, чем у тебя и всех твоих людей вместе взятых. Я скоро тебя убью».
Подобные конфликты показывают, насколько условно сотрудничество внутри киберпреступной среды. Группировки могут обмениваться ресурсами, арендовать друг у друга сервисы и помогать в отдельных операциях, но это скорее временный договор, чем дружба. Он заканчивается, как только появляется риск потерять деньги или репутацию.
Похожий масштабный конфликт произошёл в 2022 году после начала специальной военной операции России на Украине. Группировка Conti публично поддержала российские власти и пригрозила атаковать тех, кто будет вмешиваться в работу российской инфраструктуры. Заявление обернулось провалом: часть партнёров прекратила сотрудничество, а другие начали атаковать саму Conti.
Затем украинский исследователь и предположительный партнёр группировки опубликовали более 60 тысяч сообщений. Переписка раскрыла внутреннее устройство и методы работы Conti. Позже в том же году группировка распалась, однако её участники не исчезли: они разошлись по новым объединениям, включая Black Basta, Royal и Quantum. Некоторые бывшие участники Conti, предположительно, продолжают действовать и сегодня.
PEREC.RU
ShinyHunters, известный коллектив, публикующий украденные данные, предположительно взломал вымогательскую группировку Cl0p. На сайте утечек ShinyHunters разместили Cl0p и дали ей 72 часа на выплату выкупа. Если деньги не поступят, атакующие обещают опубликовать украденные материалы в киберпреступной среде. Сумма требований пока неизвестна.
По заявлениям ShinyHunters, они получили исходный код, плагины Grav CMS, системные журналы и другие файлы с серверов Cl0p. Группа продолжает скачивать и анализировать данные. В числе потенциально важных материалов — содержимое каталога /var/log, где могут храниться записи активности системы, журналы авторизации и IP-адреса подключений. Эти сведения способны помочь исследователям и защитникам нарушить инфраструктуру Cl0p, хотя сами по себе не обязательно позволяют установить личности участников.
ShinyHunters также утверждают, что завладели закрытыми ключами Tor onion-сервиса Cl0p. Tor — сеть, которая помогает скрывать расположение серверов и пользователей. По словам атакующих, наличие ключей позволит им сохранить тот же onion-адрес даже после отключения от исходной инфраструктуры.
Кроме того, ShinyHunters изменили сайт Cl0p. На странице появились ASCII-логотип ShinyHunters, ссылка на Tor-сайт группы и сообщение о том, что Cl0p не стоило угрожать своим конкурентам. Вероятно, это связано с заявлением участника Cl0p после атак на Oracle E-Business Suite в 2025 году. ShinyHunters утверждают, что им угрожали убийством и обещали раскрыть их личности.
История показывает, что взаимодействие киберпреступных группировок обычно основано не на доверии, а на временной выгоде. Они могут обмениваться ресурсами, арендовать сервисы и участвовать в совместных операциях, но быстро становятся врагами при возникновении конфликта.
Похожий кризис произошёл с группировкой Conti в 2022 году. После публичной поддержки российской стороны часть партнёров прекратила сотрудничество с Conti, а затем украинский исследователь и предполагаемый участник группировки опубликовали более 60 тысяч сообщений. Утечка раскрыла внутреннюю организацию и методы работы Conti. Позже группировка распалась, а её участники перешли в другие объединения, включая Black Basta, Royal и Quantum. Часть бывших участников Conti, предположительно, продолжает действовать.
