НеИБи

У ФБР выкупа не просят ShinyHunters заявила, что взломала ФБР. Группировка утверждает, что использовала zero-day в Oracle PeopleSoft для получения удаленного выполнения кода, затем переместилась в AWS GovCloud и выкачала от 2 до 3 ТБ данных. Среди пострадавших действующие и бывшие сотрудники ФБР, а также соискатели. Затронуты, по заявлению группы, HR-системы, Medlink и Criminal Justice Information Services. Сайт apply.fbijobs.gov был дефейснут. Баннер гласил «THIS SITE HAS BEEN SEIZED BY SHINYHUNTERS» с лого покемона Умбреона и подписью «rooting your systems since '19 ;)». ФБР подтвердило, что расследует инцидент, но не подтвердило ни взлом, ни кражу данных. По данным 404 Media, в распоряжении издания оказался образец примерно на 5 тыс. записей сотрудников ФБР, и часть информации там выглядит достоверной. Выкуп никто не просит. «This is NOT financially motivated», — заявил представитель ShinyHunters. Группа требует от ФБР отозвать или исправить майский бюллетень, где ее обвиняли в харасмент-тактиках, угрозах семьям жертв и сваттинге. Заодно ShinyHunters отрицает причастность к «The Com» — анонимной киберпреступной сети, которую ФБР упоминала в том же бюллетене. Недавние «победы» За последний месяц ShinyHunters отметилась сразу в нескольких громких историях. В середине сентября группировка взломала Tor-сайт Clop, залив туда свой логотип и заявив о краже исходного кода, логов и приватных ключей onion-сервиса. Конфликт тянулся с осени 2025 года из-за эксплойта для Oracle E-Business Suite, который Clop использовала для атак на сотни компаний, а ShinyHunters утверждала, что нашла эту дыру первой. В конце августа ShinyHunters выложила 50 ГБ данных Carhartt после отказа компании платить 3,3 млн долларов. Анализ Have I Been Pwned правда показал, что из дампа реальными оказались около 12,9 млн записей — примерно вдвое меньше заявленного, остальное пришлось на синтетику. В сентябре CenterPoint Energy подтвердила утечку 7,49 млн записей через плохо защищенный API. В том инциденте засветился ник Mr.Meow, которого связывают с экосистемой ShinyHunters. Российским спецслужбам стоит насторожиться Пока ShinyHunters демонстративно атакует ФБР «из принципа», в России продолжается своя тихая война вокруг легализации белых хакеров. Законопроект, который передал бы их работу под контроль ФСБ, обязывал бы идентифицировать себя, аккредитоваться и сообщать об уязвимостях не только заказчику, но и силовикам, а за отказ предусмотрена уголовная ответственность. Однако пока законопроект на паузе, ведь, как справедливо отмечают представители отрасли и некоторые технари в погонах грань между легальным пентестом и статьей 272 УК РФ «очень зыбкая», а «менять УК преждевременно». Опрос 102 ИБ-специалистов, проводимый на сайте «Информационная безопасность» в конце 2025 года, показал, что только 39% оценивают свою правовую защищенность как высокую, 55% сталкивались со спорными ситуациями, 17% получали угрозы судебных разбирательств, а 5% уже были в судах. Идею государственного реестра белых хакеров поддерживают лишь 17%, тогда как 59% — против. Главные опасения: деанонимизация, передача данных силовикам и бюрократизация. Так получается, что если государство не может четко определить, где заканчивается исследование и начинается преступление, оно рискует потерять контроль над теми, кто мог бы помочь ему защищаться. ShinyHunters взламывает ФБР, потому что считает себя вправе. Российские белые хакеры, судя по опросам, пока не чувствуют себя вправе даже сообщить об уязвимости, не оглядываясь на УК. Регуляторам стоит задуматься, чью сторону они укрепляют таким балансом. @antiinfosec

Утечка без запаха Есть неудобная и для многих вполне очевидная правда о современном даркнет-рынке: данные попадают в продажу не после того, как компания признала инцидент, а в момент компрометации. Между этими двумя событиями могут пройти недели, месяцы, а иногда и годы. И все это время база уже ходит по рукам, ее дополняют, перепродают и используют для фишинга. Экономика тут простая. Самый ликвидный товар тут это конечно. Тут можно и одну и ту же базу продать несколько раз, и нарезать на выборки по региону или возрасту, и склеить с другой. Цена зависит от источника (крупный банк дороже магазина галош), состава записи (имя и телефон — дешево, паспорт и адрес — дороже), актуальности (свежие данные ценнее) и числа посредников. Каждый в цепочке забирает свою маржу. Например, в 2018 выгрузка из базы крупного оператора связи стоила 4 тыс. рублей, а исполнитель получал только 800. Коммерческие тайны никуда не делись, но у них другая логика. Чертеж двигателя может стоить дороже клиентской базы, вот только найти покупателя сложнее. Такие данные лучше защищены, их трудно получить, и в массовых схемах их не применишь. А номер телефона и ФИО уже можно использовать для мошенничества хоть сегодня. Отдельная категория — те, кто атакует не ради денег. Кто-то хочет признания в закрытом сообществе, кто-то просто любопытствует. Известен случай, когда нарушитель годами сидел в сети фитнес-клуба и использовал доступ исключительно для бесплатного посещения. Заметить такое сложно, так как нет простоя, нет шифрования, нет требования выкупа. Но длительное присутствие означает, что посторонний изучает инфраструктуру и ищет путь к более важным системам. Отсутствие очевидного ущерба не равно отсутствию инцидента. То есть компания может не видеть утечку, пока образцы данных уже проверяют покупатели. Сведения из даркнета нужно встраивать в общий процесс выявления и расследования инцидентов. А то как это делать в принципе, да еще и легально, обязательно обсудим в следующих материалах @antiinfosec

Разборка хакерская Мы уже писали несколько раз писали про ShinyHunters (например здесь), да и недавно Cl0p прогремела с атакой на MOVEit. Теперь эти двое выясняют отношения между собой. Конфликт тлел еще с осени 2025 года из-за эксплойта для Oracle E-Business Suite. Cl0p использовала zero-day CVE-2025-61882 для кражи данных у более чем 100 компаний. ShinyHunters утверждает, что нашла эту дыру первой и Cl0p просто ее перехватила. В конце прошлой недели ShinyHunters перешла к активным действиям: взломала сайт Cl0p через уязвимость в Grav CMS, залила свой логотип и заявила, что украла исходный код, логи и приватные ключи onion-сервиса. «We basically own them now»,— сказали они Reuters. Cl0p на связь не вышла, но, судя по всему, инцидент задел их инфраструктуру всерьез. Забавно, что подобные разборки случаются регулярно. В 2025 0APT попыталась прославиться, «слив» данные трех группировок, включая KryBit, — в ответ KryBit взломала 0APT и опубликовала полные операционные данные, вскрыв, что все 190 с лишним «жертв» были выдуманы от начала до конца. А в марте 2025 года DragonForce объявила о «присоединении» RansomHub к своему картелю, после чего сайт RansomHub внезапно ушел в оффлайн и больше не вернулся. Для защитников тут есть практическая польза. Когда группировки воюют, они выкладывают исходники, логи и внутренние чаты конкурентов. @antiinfosec