ФБР арестува друг заподозрян член на изнудваческата groups ShinyHunters, за когото се вярва, че е умешан в неотдавнашния пробив в системите на ФБР, съобщи в петък директорът Каш Пател.

„Нашите агенти на терен арестуваха друг заподозрян съконспиратор от групата ShinyHunters – групата, за която се смята, че е отговорна за неотдавнашния инцидент с http://FBIjobs.gov, възникнал на платформа, управлявана от външен доставчик“, заяви Пател в X.

„Това е най-новият арест, който ФБР извършва в рамките на броени дни във връзка с тази мрежа, тъй като работим денонощно за разбиването на групата, преследването на нови следи и доказателства и бързото предприемане на действия.“

Въпреки че Пател не идентифицира заподозрения и не разкри къде е извършен арестът, The New York Times съобщава, че заподозреният е канадски гражданин, който е бил арестуван в Пенсилвания и се счита за основен съучастник в проникването.

Властите не са оповестили публично името на заподозрения или конкретните обвинения срещу него.

Арестът е най-новият от поредицата действия на правоприлагащите органи срещу ShinyHunters, след като хакерската група проби системите на ФБР миналия месец.

ShinyHunters заявиха пред BleepingComputer през септември, че са достъпили системите на ФБР, като са експлоатирали твърдяна zero-day уязвимост в Oracle PeopleSoft, преди да се придвижват хоризонтално в управляваната от ФБР инфраструктура AWS GovCloud.

Авторите на заплахата твърдят, че са откраднали между 2TB и 3TB данни, включително информация за настоящи и бивши служители на ФБР, кандидати за работа, медицински и психиатрични досиета, както и вътрешни сервизни записи.

Извадки от данни, споделени с BleepingComputer и други медии, потвърдиха, че пробивът е изложил на показ разнообразна информация за служителите, включително домашни адреси, номера на социални осигуровки, чувствителни служебни задачи, информация за членове на семействата на служителите и други лични данни.

NY Times също така съобщава, че във вътрешна бележка на ФБР се казва, че агенцията е предположила, че пробивът е засегнал всички служители.

От ФБР оттогава заявиха, че инцидентът произтича от платформа, управлявана от външен изпълнител, която не е инсталирала корекция за сигурност.

След хака на FBIJobs бюрото значително увеличи натиска за идентифициране и залавяне на изнудваческата банда ShinyHunters.

На 15 септември нидерландската полиция арестува 24-годишен мъж от Амстердам като част от разследването на хакерската група. Заподозреният беше идентифициран като Пепейн ван дер Стап, нидерландски хакер, известен преди онлайн като „Umbreon“.

ShinyHunters отрекоха ван дер Стап да е свързан с групата, като тогава заявиха пред BleepingComputer: „Това лице няма нищо общо с нас. Честно казано, смеем се.“

Малко след това ФБР предприе необичайната стъпка публично да предупреди членовете на ShinyHunters да се предадат, заявявайки, че следователите продължават да идентифицират хора, свързани с групата.

„Арестите имат способността да променят това кой е готов да говори, а конфискуваната инфраструктура ни показва кой е останал“, заяви тогава заместник-директорът на киберотдела на ФБР Брет Лийтърман.

„Колкото по-дълго оставате в това, толкова повече научаваме за вас. Вие знаете как да ни намерите и ние знаем как да открием вас. Препоръчвам ви да се свържете първи, докато изборът все още е ваш.“

Дни по-късно заподозрян член на ShinyHunters, известен онлайн като „Rey“, според информациите е бил задържан в Йордания и е започнал да сътрудничи на ФБР и международните правоприлагащи органи.

Reuters съобщи, че йорданските власти са задържали Rey, идентифициран като Саиф ал-Дин Хадер, и че източници са посочили, че той помага на следователите да открият други съучастници от групата.

Признаци за смущения в работата започнаха да се появяват в ShinyHunters по същото време.

Основният представител на групата, който редовно комуникираше с BleepingComputer и други журналисти и имаше подробни познания за атаките на ShinyHunters през последните две години, спря да отговаря в Telegram миналия вторник.

Този акаунт в Telegram сега изглежда е изтрит.

Същият представител продължи да комуникира с BleepingComputer след ареста на ван дер Стап, което подсказва, че ван дер Стап не е бил човекът, управляващ акаунта.

Около времето на ареста на Rey, друг твърдян партньор на ShinyHunters с подробни познания за хака на ФБР затвори онлайн акаунт за съобщения, а сайтът за изтичане на данни на групата офлайнна.

По-късно стартира нов сайт за изтичане на данни на ShinyHunters, което подсказва, че поне някои членове на операцията са останали активни.

Не е ясно дали изчезването на основния представител на групата е свързано с някой от последните арести.

„Ще продължим да работим в тясно сътрудничество с нашите партньори, за да неутрализираме остатъците от групата ShinyHunters и техните съучастници, независимо къде оперират“, каза Пател в петък.

Кои са ShinyHunters?

ShinyHunters е изнудваческа група, известна с кражбата на данни от уеб приложения и облачни SaaS платформи, след което изисква откуп от засегнатите организации под заплаха от публикуване на откраднатите данни.

Името ShinyHunters е свързано с множество злонамерени субекти, участвали в пробиви на данни, датиращи от поне 2018 г.

През последните две години хакери, опериращи под името ShinyHunters, станаха особено активни, провеждайки кампании за кражба на данни и изнудване срещу организации по целия свят.

Неотдавнашни кампании са насочени към Salesforce и други облачни SaaS среди, като атакуващите са свързани с пробиви, засегнали компании включително Google, Cisco, PornHub и гиганта за онлайн запознанства Match Group.

При някои атаки групата е пробивала компании за интеграция от трети страни и е крадяла токени за автентификация, които атакуващите след това са използвали за достъп до свързани SaaS среди и кражба на клиентски данни.

Напоследък ShinyHunters провежда кампании за гласов фишинг (vishing), насочени към акаунти за еднократно влизане (SSO) на Okta, Microsoft и Google, като се представят за персонал от ИТ поддръжката, за да подмамят служителите да въведат идентификационни данни и кодове за многофакторна автентификация (MFA) във фишинг сайтове.

Както BleepingComputer първи съобщи, групата също така е използвала vishing атаки с кодове на устройства (device code vishing), за да краде токени за автентификация на акаунти в Microsoft.

След като получат идентификационни данни и кодове за автентификация, атакуващите използват компрометираните SSO акаунти за достъп до свързани корпоративни платформи, включително Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk и Dropbox.

ShinyHunters стои и зад мащабна атака с кражба на данни срещу Instructure Canvas през май, която предизвика значителни прекъсвания в платформата. По-късно Instructure постигна „споразумение“ с атакуващите, за да им попречи да публикуват данни, откраднати при пробива.

В допълнение към провеждането на собствени пробиви, ShinyHunters оперира и като група за изнудване като услуга (extortion-as-a-service), помагайки на други киберпрестъпници да изнудват организации, които са компрометирали.

Правоприлагащите органи са арестували множество заподозрени през годините по случаи, свързани с името ShinyHunters, включително лица, свързани с атаките с кражба на данни от Snowflake, пробивите в PowerSchool и операцията на хакерския форум Breached v2.

Въпреки тези арести киберпрестъпниците продължават да оперират под името ShinyHunters, извършвайки атаки с кражба на данни и изнудване срещу организации по целия свят.

Изградете своя план за сигурност срещу атаки, задвижвани от AI

Присъединете се към Мико Хипьонен и лидери в областта на сигурността от NFL, CHANEL и Atlassian за двучасова цифрова среща на върха относно промените, които носят атаките със скоростта на AI, какво трябва да спрат да правят защитниците и как да потвърждават, вземат решения, отстраняват уязвимости и повторно да потвърждават със скоростта на машините.