Заподозрян член на хакерската група ShinyHunters е задържан в Йордания и според информацията помага на ФБР да идентифицира други хакери, свързани с групата. Ройтерс съобщи на 3 октомври, че трима източници, запознати с въпроса, са потвърдили задържането на Саиф ал-Дин Хадер (Saif al-Din Khader), чийто предполагаем псевдоним в мрежата е Rey.

Два източника заявяват, че йорданските власти са задържали Хадер във вторник, 29 септември. Те посочват също, че той помага на ФБР и правоприлагащите органи по света да локализират други членове на групата. Ройтерс не успя да установи причината за задържането му или къде се намира той, а опитите да се свържат с него и семейството му са били неуспешни.

ФБР отказа да потвърди конкретен арест или чуждестранна операция. Въпреки това от бюрото заявиха, че „продължават агресивно да разследват скорошния киберинцидент, за който се твърди, е свързан с ShinyHunters“, като добавиха, че вече са работили с партньори за арестуването на няколко лица. Бюрото се ангажира да преследва всички отговорни лица.

Твърдения за кражба на данни от ФБР

Задържането следва твърдението на ShinyHunters, че са откраднали информация за всеки служител на ФБР. Това твърдение остава непотвърдено, а съобщеното сътрудничество не определя ролята на Хадер в инцидента и не потвърждава версията на групата за осъществения достъп.

По-ранни съобщения за предполагаемия пробив в портала за работа на ФБР описват дефейсмент (подмяна на съдържанието) на apply.fbijobs.gov, където атакуващите са поставили фалшиво съобщение за конфискация. Впоследствие ФБР спря услугата си за кандидатстване и портала за кандидат-специални агенти, докато разследваше неоторизирана дейност, засегнала системите за подбор на персонал.

От ShinyHunters твърдят, че са използвали неразкрита уязвимост в Oracle PeopleSoft, която позволява изпълнение на код без влизане в системата. Групата заяви, че след това се е придвижила към управляваните от ФБР системи AWS GovCloud и е изтеглила между два и три терабайта данни. Oracle, AWS и ФБР не са потвърдили този вектор на атака.

Атакуващите предоставиха на журналисти извадка от 5 000 предполагаеми записи на служители, съдържащи имена, домашни адреси, телефонни номера, номера на социални осигуровки, рождени дати, назначения и подробности за семействата им. Ройтерс частично съпостави данните в поне 10 случая, но тази проверка не доказа, че записите произлизат от компрометирани системи на ФБР.

Тези разграничения са важни, тъй като поемането на контрол върху публичен уебсайт не означава автоматично достъп до по-широката мрежа на дадена агенция. Разследващите трябва да сравнят сървърните логове, активността на акаунтите, записите за достъп до облака и изходящите трансфери на данни, за да установят как са влезли киберпрестъпниците и какво действително са изнесли.

Ако са автентични, съобщените кадрови записи биха могли да улеснят целеви фишинг, измами с самоличност, тормоз или заплахи срещу служители и техни близки. Подробностите за назначенията и семейните контакти могат да направят измамните съобщения по-убедителни, дори без атакуващите да запазят достъп до правителствените системи.

Задържането в Йордания следва и ареста на предполагаем лидер на ShinyHunters в Нидерландия. Нидерландската полиция задържа 24-годишен заподозрян в Амстердам на 15 септември с подкрепата на ФБР. От ShinyHunters отрекоха свързаност на този заподозрян с групата, а обвиненията остават недоказани.

Ройтерс описва ShinyHunters като група, за която експертите смятат, че се състои основно от млади англоговорящи хакери, фокусирани върху кражба на данни и изнудване. Съобщеното сътрудничество на Хадер би могло да помогне на разследващите да свържат онлайн самоличностите с реални хора, но Ройтерс не разкрива каква информация е предоставил той.

Засега основните неразкрити въпроси засягат правния статут на Хадер, обхвата на неговото сътрудничество и реалния мащаб на предполагаемата кражба на данни от ФБР. Нито докладът за задържането, нито публичните твърдения на групата дават отговор на тези въпроси. Разследването на ФБР остава активно, като са необходими допълнителни констатации, за да се разграничат потвърдените доказателства от изявленията на атакуващите и други непотвърдени твърдения.