ShinyHunters получила доступ к Tor-сайту группировки Clop и заменила его содержимое собственной страницей

Эксперт «Группы Астра» Андрей Кузнецов рассказал, что с точки зрения информационной безопасности, данный сценарий является классическим примером дефейса несанкционированного изменения данных.

BleepingComputer пишет, что злоумышленники сначала загрузили на сервер небольшой файл с посланием, а через несколько часов полностью изменили главную страницу ресурса.

На месте сайта Clop появилась ASCII-графика с персонажем Umbreon, которого ShinyHunters использует как символ, ссылка на площадку группировки и сообщение о взломе. Такой результат подтверждает как минимум возможность записывать или менять файлы, которые отдаёт публичный Tor-сервис.

ShinyHunters заявила, что получила полный доступ к системе и скачала исходный код, плагины Grav CMS, системные журналы и другие файлы. Отдельно группировка утверждает, что забрала содержимое каталога /var/log. В нём могли находиться записи об активности сервера, событиях аутентификации и IP-адресах подключавшихся к инфраструктуре Clop.

Ситуацию прокомментировал эксперт по автоматизированной защите данных RuBackup.

«Несмотря на ироничность ситуации, когда одна хакерская группировка атакует другую, технические принципы реагирования на инциденты остаются неизменными. С точки зрения информационной безопасности, описанный сценарий является классическим примером дефейса несанкционированного изменения данных. Система резервного копирования в данном случае выполняет критически важные функции, такие как быстрое восстановление исходного состояния, форензика и сравнительный анализ, безопасный анализ вектора атаки, защита от попыток полного уничтожения, а также минимизация времени простоя», — сказал Андрей Кузнецов, генеральный директор ООО "РуБэкап".