ShinyHunters, Clop fidye çetesiyle çatışmaya girdi

ShinyHunters fidye çetesi, Clop (Cl0p olarak da bilinir) fidye yazılımı operasyonunun veri sızıntı sitesine sızarak, Tor sitesini değiştirdi ve sunucu verilerini ile onion hizmetinin özel anahtarlarını çaldığını iddia etti.

Saldırı, Cuma gecesi ShinyHunters’ın Grav CMS’deki kimlik doğrulaması yapılmamış bir dosya yükleme açığını kullanmasıyla başladı. Bu açığı kullanarak Clop'un sitesine küçük bir metin dosyası yüklediler.

Yüklenen metin dosyasında, ShinyHunters’ın Clop fidye çetesine yönelik bir mesajı yer alıyordu. Mesajda, onları tehdit etmemeleri konusunda uyarıda bulunuluyor ve ShinyHunters’ın kendi veri sızıntı sitesine bir bağlantı ekleniyordu.

"BU SİTE SHINYHUNTERS TARAFINDAN PWN3D - Belki bir dahaki sefere bizi tehdit etmeye çalışmazsınız," şeklindeki mesaj dikkat çekti. Bu dosyanın Clop'un sunucusuna yüklendiği ve doğrudan fidye çetesinin Tor sitesinden indirilebileceği BleepingComputer tarafından doğrulandı.

Birkaç saat sonra, ShinyHunters, Clop'un sitesini "tamamen değiştirdiklerini" belirtti. Siteye yapılan ziyaret, ShinyHunters’ın logosu olan Umbreon'un ASCII sanatıyla değiştirilmiş bir sayfa ile karşılaştı. Ayrıca, grubun Tor sitesine bir bağlantı ve "sistemlerinizi '19'dan beri kökledik ;)" mesajı da içeriyordu.

ShinyHunters, sunucuya "tam erişim" sağladıklarını ve kaynak kodu, Grav CMS eklentileri, sistem günlükleri ve diğer verileri çaldıklarını açıkladı. "Çaldığımız veriler arasında kaynak kodları, gravCMS eklentileri ve diğer şeyler var. Hâlâ indiriyoruz ve inceliyoruz," diye belirttiler.

Aynı zamanda, ShinyHunters, /var/log altında depolanan tüm dosyaları da çaldıklarını iddia ediyor. Bu dosyalar, sistem etkinliğini, kimlik doğrulama günlüklerini ve potansiyel olarak sisteme bağlananların IP adreslerini içerebilir.

ShinyHunters, Clop'un Tor onion hizmetine ait özel anahtarları da ele geçirdiklerini öne sürdü. "Onların onion anahtarlarına sahibiz. Eğer bizi dışlarlarsa, bu hiç önemli olmayacak çünkü aynı onion URL'sini barındırmak için özel anahtarlara sahibiz," dedi.

Eğer bu anahtarlar geçerliyse, ShinyHunters, Clop'un mevcut onion adresini kontrol ettikleri sunucularda kullanarak yeni bir Tor sitesi işletme imkânına sahip olabilir. BleepingComputer, defacement olayını ve daha önce yüklenen dosyayı bağımsız olarak doğruladı ancak ShinyHunters'ın sunucu günlükleri, kaynak kodu veya Clop'un onion özel anahtarlarını çaldığı iddialarını bağımsız olarak doğrulamadı.

ShinyHunters, çaldıkları verileri incelemeye başladıklarını belirtti. Çalınan bilgileri ne yapacakları sorulduğunda ise, "Onlardan fidye talep edeceğiz," yanıtını verdiler. Grup, Clop'un kendileriyle 72 saat içinde iletişime geçmesini talep eden bir mesaj yayınlamayı planlıyor.

Siber güvenlik araştırmacısı VXDB, Clop'un veri sızıntı sitesinde sergilenen Umbreon sanatının, ShinyHunters’ın daha önce HackForums sitesini hacklediği Ağustos 2020'deki defacement ile aynı olduğunu belirtti.

ShinyHunters, saldırının, Clop temsilcisi tarafından yapılan tehditlere karşı bir intikam eylemi olduğunu ifade etti. Clop temsilcisinin, ShinyHunters’ın Clop'un veri hırsızlığı kampanyasını kesintiye uğratmasının ardından grup üyelerini tanımlamakla tehdit ettiği iddia ediliyor.

ShinyHunters, bu anlaşmazlığın Clop'un 2025 Oracle E-Business Suite veri hırsızlığı kampanyasına kadar uzandığını belirtti. Ekim 2025'te Clop, Oracle E-Business Suite sunucularındaki birden fazla açığı kullanarak veri çalmıştı. O dönemde, ShinyHunters, Oracle’ın daha sonra doğruladığı bir exploitin kendilerine ait olduğunu ve Clop tarafından izinsiz olarak elde edildiğini ifade etti.