در یک حادثه غیرمنتظره در دنیای جرایم سایبری، گروه ShinyHunters موفق شد سایت افشای داده‌ها (Data Leak Site یا DLS) متعلق به گروه باج‌افزاری Clop را هک کرده و کنترل آن را به دست بگیرد. این حمله که از تاریخ ۱۸ سپتامبر ۲۰۲۶ آغاز شد، از یک تغییر ظاهر ساده (Defacement) به یک تلاش سازمان‌یافته برای اخاذی از یک گروه جنایی دیگر تبدیل شد.
جزئیات فنی حمله و متدولوژی
بر اساس گزارش‌های منتشر شده، ShinyHunters برای نفوذ به زیرساخت Clop از یک آسیب‌پذیری مربوط به Unauthenticated File Upload در سیستم مدیریت محتوای Grav CMS استفاده کرده است. این سیستم مدیریت محتوا، زیربنای سایت Tor گروه Clop را تشکیل می‌داد. نفوذگران ابتدا با آپلود یک فایل متنی کوچک، دسترسی خود را اثبات کرده و سپس در عرض چند ساعت، کل سایت را با نمادهای خود تغییر دادند.
سرقت کلیدهای خصوصی Tor و کدهای منبع
ادعاهای ShinyHunters فراتر از یک تغییر ظاهر ساده است. این گروه مدعی شده است که توانسته کدهای منبع (Source Code)، پلاگین‌ها، لاگ‌های سرور و به‌ویژه Private Keys مربوط به سرویس Onion گروه Clop را سرقت کند. در صورتی که این ادعا صحت داشته باشد، ShinyHunters می‌تواند آدرس Tor این گروه را روی زیرساخت‌های تحت کنترل خود بازسازی کرده و کنترل دائمی بر ارتباطات عمومی Clop داشته باشد.
ریشه اختلافات: مناقشه بر سر اکسپلویت Oracle EBS
به نظر می‌رسد دلیل اصلی این حمله، اختلافات مالی و فنی بر سر اکسپلویت‌های مربوط به Oracle E-Business Suite باشد. در سال ۲۰۲۵، گروه Clop از آسیب‌پذیری‌های ناشناخته‌ای برای سرقت داده‌ها از سازمان‌های کاربر این نرم‌افزار استفاده کرد. subsequently، شرکت اوراکل آسیب‌پذیری بحرانی CVE-2025-61882 را که منجر به اجرای کد از راه دور (RCE) می‌شد، شناسایی و اصلاح کرد.
گروه ShinyHunters مدعی است که اکسپلویت مورد استفاده در کمپین Clop در ابتدا متعلق به آن‌ها بوده و Clop بدون اجازه از آن استفاده کرده است. این درگیری که با تهدیدات متقابل بین اعضای دو گروه شدت یافت، در نهایت منجر به حمله تلافی‌جویانه به زیرساخت Clop شد.
پیامدهای عملیاتی برای سازمان‌ها
این حادثه نشان می‌دهد که حتی گروه‌های باج‌افزاری بزرگ نیز در برابر حملات آسیب‌پذیر هستند. از دیدگاه امنیتی، این موضوع دو ریسک جدی را برای سازمان‌های قربانی ایجاد می‌کند:
- تغییر مالکیت داده‌های سرقتی: اگر ShinyHunters واقعاً به لاگ‌ها و سوابق پرداخت‌های Clop دسترسی پیدا کرده باشد، اطلاعات سازمان‌هایی که پیش‌تر باج پرداخت کرده‌اند ممکن است به دست گروه جدیدی بیفتد.
- تکرار اخاذی: سازمان‌هایی که تصور می‌کردند با پرداخت باج یا حذف نامشان از سایت Clop، مشکلشان حل شده است، ممکن است دوباره با درخواست‌های اخاذی از سوی ShinyHunters مواجه شوند.
