Ночью 18 сентября даркнет стал средой для нетипичной ситуации – публичного вымогательства одной преступной группировкой у другой. Участники ShinyHunters проникли на сайт утечек Tor, используемый группировкой Clop для публичной огласки данных пострадавших, изменили его оформление на собственное и разместили требование о выкупе, направленное к Clop.
Группировка Clop является организатором кампаний по массовой эксплуатации уязвимостей в MOVEit, GoAnywhere и Oracle E-Business Suite. Она приобрела репутацию благодаря корпоративному программному обеспечению, которое своевременно не получает исправлений. Собственный сайт группировки был потерян по той же причине – из-за программного обеспечения без примененных исправлений.
Эта история является главной в отчете CTI за сентябрь 2026 года, подготовленном командой CyOps из компании Cynet. Ниже приведена краткая версия, а также другие итоги месяца, с которыми следует ознакомиться командам по безопасности и поставщикам управляемых услуг (MSP).
Как ShinyHunters получили несанкционированный доступ к сайту утечек Clop
Точка входа оказалась банальной. Сайт утечек Clop функционировал на Grav – системе управления контентом PHP на базе плоских файлов, оставаясь на старой версии 1.7.43. ShinyHunters злоупотребили уязвимостью CVE-2026-42608 (CVSS 9.1) – ошибкой обхода каталога в механизме обработки загрузок форм Grav, позволяющей неаутентифицированному злоумышленнику записывать файлы в любое место, доступное для вебсервера. Разработчики Grav устранили эту ошибку в ветке 2.0 еще в апреле, однако ветка 1.7 осталась незащищенной. Первым действием стала загрузка небольшого текстового файла на сервер Clop с текстом: «THIS SITE HAS BEEN PWN3D BY SHINYHUNTERES».
BleepingComputer подтвердило, что этот файл предоставлялся именно из инфраструктуры Clop. Через несколько часов весь сайт подвергся дефейсу. 24 сентября команда Grav выпустила бэкпорт исправления в версии 1.7.53.4, следовательно, любая организация, продолжающая использовать Grav 1.7, должна установить патч. Вектор эксплуатации обнародован.
После этого ShinyHunters поступили с Clop так же, как Clop поступает со всеми остальными. В публикации «Note to Cl0p» содержалось требование выплатить восьмизначную сумму в течение 72 часов, принести публичные извинения, а также угроза раскрыть список компаний, которые тайно заплатили Clop во время кампании Oracle E-Business Suite, указав точные суммы и адреса Bitcoin.
Вражда берет начало с октября 2025 года, когда Clop осуществило массовую эксплуатацию Oracle E-Business Suite, включая уязвимость нулевого дня CVE-2025-61882. Группировка ShinyHunters утверждает, что этот эксплойт изначально принадлежал им. Завершение оказалось более тихим, чем обещали первоначальные действия. Clop перешло на новый адрес onion, сообщило BleepingComputer, что перехваченный сервер «не содержал ничего, кроме контента», после чего объявление о нем исчезло с сайта ShinyHunters без каких-либо объяснений. По состоянию на 28 сентября никакой список пострадавших организаций, заплативших Clop, не был опубликован.
Группировка ShinyHunters выбрала более серьезного противника
К тому моменту, как публикация о Clop исчезла, ShinyHunters уже перешли к действиям против ФБР. 21 сентября внешний вид рекрутингового портала Бюро, apply.fbijobs.gov, был искажен: на нем появился тот же ASCII-арт с изображением Umbreon, что и на ресурсе Clop, а также заголовок «THIS SITE HAS BEEN SEIZED BY SHINYHUNTERS.».
Группировка утверждает, что для проникновения использовала уязвимость нулевого дня в Oracle PeopleSoft. После чего группировка переместилась в инфраструктуру AWS GovCloud под управлением ФБР и получила от 2 до 3 ТБ данных, касающихся агентов и кандидатов, включая медицинские документы и результаты тестов на наркотики. Некоторые издания связывают эту компрометацию с CVE-2026-35273 – недостатком PeopleSoft, который группировка ShinyHunters уже использовала против более 100 организаций, преимущественно университетов, в период с 27 мая по 9 июня. Группировка настаивает, что это новая ошибка. В настоящее время нет никаких публичных технических доказательств, которые позволили бы окончательно определить, что именно было использовано.
ФБР подтвердило факт проведения расследования, а не компрометацию своих основных систем, и заявило о сотрудничестве со сторонними поставщиками, обеспечивающими работу портала вакансий. Частичные образцы были верифицированы изданиями 404 Media и Reuters. Заявленным мотивом ShinyHunters является майское публичное сообщение ФБР о группировке, на которое Бюро получило одну неделю, чтобы «исправить или просто УДАЛИТЬ» его.
Cynet отслеживает ShinyHunters годами: от инцидентов с компрометацией Ticketmaster и Santander до ShinySp1d3r. Этот месяц четко доказывает одно: данные, переданные группировке вымогателей, никогда не остаются в безопасности. Как отметили в Dark Reading, пострадавшим от Clop теперь приходится задумываться над тем, кто еще владеет их записями. Файлы переговоров одной группировки находятся на расстоянии всего одной компрометации от публикации на чужом сайте утечек.
Другие главные новости сентября
Большинство ключевых инцидентов этого месяца стали следствием одного случая раскрытия учетных данных или одного незащищенного API.
- Группировка ShinyHunters также атаковала Департамент автотранспорта (DMV) Флориды. Власти штата подтвердили несанкционированный доступ к базе данных водителей DAVID, осуществленный с помощью учетных данных сотрудника полиции Плант-Сити, хранившихся на личном устройстве. ShinyHunters сообщили об изъятии более 200 000 записей.
- Компания CenterPoint Energy подтвердила факт кражи клиентских данных. Злоумышленник заявил о 7,49 миллиона записей, полученных через перебор идентификаторов в публичном API, которое якобы работало без ограничения частоты запросов или защиты WAF.
- Сеть доставки контента (CDN) Brevo транслировала приманки ClickFix на клиентские сайты. Наличие жестко закодированного ключа API Cloudflare с полным набором разрешений позволило злоумышленникам 14 сентября модифицировать формы, виджеты и загрузчики SDK Brevo на периферийном уровне. По данным Sansec, пострадали до 100 000 сайтов. Процесс эволюции ClickFix освещался в статье ClickFix Reloaded.
- Компания Microsoft прекратила деятельность EvilTokens. Этот сервис для фишинга кодов устройств скомпрометировал более 12 000 почтовых ящиков Microsoft в более чем 10 000 организаций, обойдя многофакторную аутентификацию (MFA) путем злоупотребления санкционированным механизмом OAuth (device flow). Двух предполагаемых администраторов сервиса арестовали в Великобритании.
- В Австралии арестованы двое подозреваемых участников группировки TeamPCP. Эту группу связывают с атаками на цепочки поставок инструментов Trivy, LiteLLM и других решений для разработчиков, а также с компрометацией более 1000 организаций и кражей около 500 000 учетных данных.
- Компания Veradigm сообщила о компрометации медицинских данных пациентов в результате применения злоумышленниками украденных учетных данных поставщика для доступа к API обслуживания клиентов. Группировка программ-вымогателей Gentlemen заявила о получении 3,5 миллиона записей.
Программы-вымогатели: 789 пострадавших, группировка The Gentlemen возглавляет список
В течение сентября группировки программ-вымогателей сообщили о 789 пострадавших. Лидером оказалась группировка The Gentlemen (102), которая уверенно обошла Qilin (74) и Storm (37). Соединенные Штаты стали страной с наибольшим количеством атак, тогда как наиболее целевой отраслью оказалось производство.
Уязвимости: нулевой день в продуктах F5 и два инструмента MSP
В течение месяца команда CyOps проанализировала девять уязвимостей (CVE) с критическим и высоким уровнем серьезности, среди которых проблема с максимальной оценкой 10.0 в SonicWall SMA1000 и еще одна в Adobe Commerce.
Поставщикам управляемых услуг (MSP) следует в первую очередь проверить N-central (CVE-2026-86218, RCE до прохождения аутентификации, 9.8) и ScreenConnect (CVE-2026-84869, 9.9). Средства удаленного управления дают злоумышленнику возможность добраться до каждой клиентской среды одновременно.
Постачальникам керованих послуг (MSP) варто в першу чергу перевірити N-central (CVE-2026-86218, RCE до проходження автентифікації, 9.8) та ScreenConnect (CVE-2026-84869, 9.9). Засоби віддаленого управління дають зловмиснику змогу дістатися до кожного клієнтського середовища одночасно.
Ключевая тема этого месяца – CVE-2026-94127. Это переполнение кучи в F5 BIG-IP APM, которое злоумышленники начали эксплуатировать еще до выпуска патча. CISA внесла эту уязвимость в каталог KEV, а на момент обнародования информации доступными для воздействия оставались более 14 000 устройств.
Три новых семейства вредоносного программного обеспечения
- Программа-вымогатель Majinahanashi. Блокировщик с японским брендированием и правилами по российскому образцу: он прекращает работу на машинах в странах СНГ и не опубликовал информацию ни об одной пострадавшей организации в США, Великобритании, Канаде или Австралии. Его главная особенность заключается в отключении агентов безопасности от сети, оставляя их при этом в рабочем состоянии и без видимых признаков сбоев.
- Похититель данных Kynix (Nexar). Открытый исходный код на GitHub, обход механизма Chrome App-Bound Encryption и эксфильтрация данных через вебхуки Discord и сервис Gofile.
- Программа-вымогатель Zawoo. Операция с двойным вымогательством, появившаяся в конце августа и заявившая о 22 пострадавших организациях, половина из которых – немецкие компании. Она принудительно завершает процессы Office, баз данных и резервного копирования перед шифрованием, чтобы ни один файл не оставался заблокированным.
