Уночі 18 вересня даркнет став середовищем для нетипової ситуації – публічного вимагання одним злочинним угрупованням в іншого. Учасники ShinyHunters проникли на сайт витоків Tor, що застосовується угрупованням Clop для публічного розголосу даних тих, хто постраждав, змінили його оформлення на власне й розмістили вимогу про викуп, спрямовану до Clop.
Угруповання Clop є організатором кампаній із масової експлуатації вразливостей у MOVEit, GoAnywhere та Oracle E-Business Suite. Воно здобуло репутацію завдяки корпоративному програмному забезпеченню, що своєчасно не отримує виправлень. Власний сайт угруповання було втрачено з тієї ж причини – через програмне забезпечення без застосованих виправлень.
Ця історія є головною в звіті СTI за вересень 2026 року, підготовленому командою CyOps із компанії Cynet. Нижче наведено стислу версію, а також інші підсумки місяця, з якими варто ознайомитися командам із безпеки та постачальникам керованих послуг (MSP).
Як ShinyHunters отримали несанкціонований доступ до сайту витоків Clop
Точка входу виявилася банальною. Сайт витоків Clop функціонував на Grav – системі управління контентом PHP на базі плоских файлів, залишаючись на старій версії 1.7.43. ShinyHunters зловжили вразливістю CVE-2026-42608 (CVSS 9.1) – помилкою обходу каталогу в механізмі обробки завантажень форм Grav, що дає неавтентифікованому зловмиснику змогу записувати файли в будь-яке місце, доступне для вебсервера. Розробники Grav усунули цю помилку в гілці 2.0 ще у квітні, проте гілка 1.7 залишилася незахищеною. Першою дією стало завантаження невеликого текстового файлу на сервер Clop із текстом: «THIS SITE HAS BEEN PWN3D BY SHINYHUNTERES».
BleepingComputer підтвердило, що цей файл надавався саме з інфраструктури Clop. За кілька годин весь сайт піддався дефейсу. 24 вересня команда Grav випустила бекпорт виправлення у версії 1.7.53.4, отже, будь-яка організація, що продовжує використовувати Grav 1.7, повинна встановити патч. Вектор експлуатації оприлюднено.
Після цього ShinyHunters вчинили з Clop так само, як Clop чинить з усіма іншими. У публікації «Note to Cl0p» містилася вимога сплатити восьмизначну суму протягом 72 годин, принести публічні вибачення, а також погроза розкрити перелік компаній, які таємно заплатили Clop під час кампанії Oracle E-Business Suite, вказавши точні суми та адреси Bitcoin.
Ворожнеча бере початок із жовтня 2025 року, коли Clop здійснило масову експлуатацію Oracle E-Business Suite, включно з вразливістю нульового дня CVE-2025-61882. Угруповання ShinyHunters стверджує, що цей експлойт від початку належав їм. Завершення виявилося тихішим, ніж обіцяли початкові дії. Clop перейшло на нову адресу onion, повідомило BleepingComputer, що перехоплений сервер «не містив нічого, крім контенту», після чого оголошення щодо нього зникло із сайту ShinyHunters без жодних пояснень. Станом на 28 вересня жодного списку постраждалих організацій, які заплатили Clop, не було опубліковано.
Угруповання ShinyHunters обрало серйознішого супротивника
До того моменту, як публікація про Clop зникла, ShinyHunters уже перейшли до дій проти ФБР. 21 вересня зовнішній вигляд рекрутингового порталу Бюро, apply.fbijobs.gov, було спотворено: на ньому з’явився той самий ASCII-арт із зображенням Umbreon, що й на ресурсі Clop, а також заголовок «THIS SITE HAS BEEN SEIZED BY SHINYHUNTERS.».
Угруповання стверджує, що для проникнення використало вразливість нульового дня в Oracle PeopleSoft. Після чого угрупування перемістилося в інфраструктуру AWS GovCloud під управлінням ФБР та отримало від 2 до 3 ТБ даних, що стосуються агентів і кандидатів, включно з медичними документами та результатами тестів на наркотики. Деякі видання пов’язують цю компрометацію з CVE-2026-35273 – недоліком PeopleSoft, який угруповання ShinyHunters уже використовувало проти понад 100 організацій, переважно університетів, у період з 27 травня до 9 червня. Угруповання наполягає, що це нова помилка. Наразі немає жодних публічних технічних доказів, які б дозволили остаточно визначити, що саме було використано.
ФБР підтвердило факт проведення розслідування, а не компрометацію своїх основних систем, і заявило про співпрацю зі сторонніми постачальниками, які забезпечують роботу порталу вакансій. Часткові зразки були верифіковані виданнями 404 Media та Reuters. Заявленим мотивом ShinyHunters є травневе публічне повідомлення ФБР про угруповання, на яке Бюро отримало один тиждень, щоб «виправити або просто ВИДАЛИТИ» його.
Cynet відстежує ShinyHunters роками: від інцидентів із компрометацією Ticketmaster і Santander до ShinySp1d3r. Цей місяць чітко доводить одне: дані, передані угрупованню вимагачів, ніколи не залишаються в безпеці. Як зазначили в Dark Reading, постраждалим від Clop тепер доводиться замислюватися над тим, хто ще володіє їхніми записами. Файли переговорів одного угруповання знаходяться на відстані лише однієї компрометації від публікації на чужому сайті витоків.
Інші головні новини вересня
Більшість ключових інцидентів цього місяця стали наслідком одного випадку розкриття облікових даних або одного незахищеного API.
- Угруповання ShinyHunters також атакувало Департамент автотранспорту (DMV) Флориди. Влада штату підтвердила несанкціонований доступ до бази даних водіїв DAVID, здійснений за допомогою облікових даних співробітника поліції Плант-Сіті, що зберігалися на особистому пристрої. ShinyHunters повідомили про вилучення понад 200 000 записів.
- Компанія CenterPoint Energy підтвердила факт викрадення клієнтських даних. Зловмисник заявив про 7,49 мільйона записів, отриманих через перебір ідентифікаторів у публічному API, яке нібито працювало без обмеження частоти запитів чи захисту WAF.
- Мережа доставки контенту (CDN) Brevo транслювала приманки ClickFix на клієнтські сайти. Наявність жорстко закодованого ключа API Cloudflare із повним набором дозволів дала зловмисникам змогу 14 вересня модифікувати форми, віджети та завантажувачі SDK Brevo на периферійному рівні. За даними Sansec, постраждали до 100 000 сайтів. Процес еволюції ClickFix висвітлювався в статті ClickFix Reloaded.
- Компанія Microsoft припинила діяльність EvilTokens. Цей сервіс для фішингу кодів пристроїв скомпрометував понад 12 000 поштових скриньок Microsoft у більш ніж 10 000 організацій, обійшовши багатофакторну автентифікацію (MFA) через зловживання санкціонованим механізмом OAuth (device flow). Двох імовірних адміністраторів сервісу заарештували у Великій Британії.
- В Австралії заарештовано двох підозрюваних учасників угруповання TeamPCP. Цю групу пов’язують з атаками на ланцюжки постачання інструментів Trivy, LiteLLM та інших рішень для розробників, а також із компрометацією понад 1000 організацій та викраденням близько 500 000 облікових даних.
- Компанія Veradigm повідомила про компрометацію медичних даних пацієнтів унаслідок застосування зловмисниками викрадених облікових даних постачальника для доступу до API обслуговування клієнтів. Угруповання програм-вимагачів Gentlemen заявило про отримання 3,5 мільйона записів.
Програми-вимагачі: 789 постраждалих, угруповання The Gentlemen очолює список
Протягом вересня угруповання програм-вимагачів повідомили про 789 постраждалих. Лідером виявилося угруповання The Gentlemen (102), яке впевнено обійшло Qilin (74) та Storm (37). Сполучені Штати стали країною з найбільшою кількістю атак, тоді як найбільш цільовою галуззю виявилося виробництво.
Вразливості: нульовий день у продуктах F5 та два інструменти MSP
Протягом місяця команда CyOps проаналізувала дев’ять вразливостей (CVE) із критичним і високим рівнем серйозності, серед яких проблема з максимальною оцінкою 10.0 у SonicWall SMA1000 та ще одна в Adobe Commerce.
Постачальникам керованих послуг (MSP) варто в першу чергу перевірити N-central (CVE-2026-86218, RCE до проходження автентифікації, 9.8) та ScreenConnect (CVE-2026-84869, 9.9). Засоби віддаленого управління дають зловмиснику змогу дістатися до кожного клієнтського середовища одночасно.
Ключова тема цього місяця – CVE-2026-94127. Це переповнення купи в F5 BIG-IP APM, яке зловмисники почали експлуатувати ще до випуску патча. CISA внесла цю вразливість до каталогу KEV, а на момент оприлюднення інформації доступними для впливу залишалися понад 14 000 пристроїв.
Три нові сімейства шкідливого програмного забезпечення
- Програма-вимагач Majinahanashi. Блокувальник із японським брендуванням та правилами за російським зразком: він припиняє роботу на машинах у країнах СНД і не опублікував інформацію про жодну постраждалу організацію у США, Великій Британії, Канаді чи Австралії. Його головна особливість полягає у відключенні агентів безпеки від мережі, залишаючи їх при цьому в робочому стані та без видимих ознак збоїв.
- Викрадач Kynix (Nexar). Відкритий вихідний код на GitHub, обхід механізму Chrome App-Bound Encryption та ексфільтрація даних через вебхуки Discord і сервіс Gofile.
- Програма-вимагач Zawoo. Операція з подвійним вимаганням, яка з’явилася наприкінці серпня та заявила про 22 постраждалі організації, половина з яких – німецькі компанії. Вона примусово завершує процеси Office, баз даних і резервного копіювання перед шифруванням, щоб жоден файл не залишався заблокованим.
