ShinyHunters 入侵 Clop 泄露站点，威胁勒索该勒索软件团伙

ShinyHunters 勒索团伙入侵了 Clop（又名 Cl0p）勒索软件组织的数据泄露站点，篡改了该 Tor 站点，并据称窃取了服务器数据及其 onion 服务的私钥。

攻击始于周五晚间，ShinyHunters 利用了他们所称的 Grav CMS 中一个未认证文件上传漏洞，借此向 Clop 的站点上传了一个小文本文件。

这个小文本文件包含了一条来自威胁行为者发给 Clop 勒索软件团伙的消息，警告其不要威胁他们，并附有一个指向 ShinyHunters 自己数据泄露站点的链接。

"THIS SITE HAS BEEN PWN3D BY SHINYHUNTERES # Skids10p - Maybe don't try to threaten us next time（本站已被 SHINYHUNTERES 攻陷 #Skids10p——下次也许别试图威胁我们），"上传的文件写道。

该文件还包含一个指向 ShinyHunters 数据泄露站点的链接。

BleepingComputer 证实该文件已被上传至 Clop 的服务器，并可直接从该勒索软件团伙的 Tor 站点下载。

数小时后，ShinyHunters 告诉 BleepingComputer，他们已 "完全篡改" 了 Clop 的站点。

访问该站点证实，它已被替换为一个显示 Umbreon 的 ASCII 艺术图的页面，Umbreon 是 ShinyHunters 用作其标志的宝可梦。该篡改页面还包含一个指向该团伙 Tor 站点的链接以及一条消息："rooting your systems since '19 "。

据 ShinyHunters 称，截至本文撰写时，该篡改页面仍在从 Clop 的基础设施上提供。

ShinyHunters 声称窃取了数据

ShinyHunters 告诉 BleepingComputer，其获得了服务器的 "完全访问权限"，并窃取了源代码、Grav CMS 插件、系统日志及其他数据。

"我们窃取的数据包括源代码、gravCMS 插件及其他内容。我们仍在下载和审查它们，"ShinyHunters 告诉 BleepingComputer。

威胁行为者还声称窃取了存储在 / var / log 下的所有文件，其中可能包含系统活动、认证日志，以及可能包含连接到该站点的那些人的 IP 地址。

ShinyHunters 还声称获得了 Clop 的 Tor onion 服务所使用的私钥。

"我们拥有他们的 onion 密钥。所以即使他们把我们踢出去也完全没关系，因为我们控制着托管同一个 onion URL 的私钥，"该威胁行为者声称。

如果这些密钥有效，将允许威胁行为者在其控制的服务器上使用 Clop 现有的 onion 地址运营一个 Tor 站点。

BleepingComputer 已独立证实了此次篡改以及此前上传的文件，但尚未独立核实 ShinyHunters 关于其窃取了服务器日志、源代码或 Clop onion 私钥的说法。

ShinyHunters 表示，其目前正在审查据称窃取的数据。

当被问及计划如何处理窃取的信息时，该威胁行为者回应道："打算勒索他们。"

该团伙称，其计划在自己的泄露站点上发布一条消息，指示 Clop 在 72 小时内联系他们。

网络安全研究员 VXDB 告诉 BleepingComputer，目前显示在 Clop 泄露站点上的 Umbreon 图案，与 2020 年 8 月 HackForums 网站遭篡改时使用的图案相同，当时 ShinyHunters 也声称对此负责。

网络犯罪团伙之间的恩怨

ShinyHunters 称，此次攻击是对 Clop 一名代表在两个网络犯罪团伙持续恩怨中所作威胁的报复。

据 ShinyHunters 称，在 ShinyHunters 破坏了 Clop 的一次数据窃取行动后，一名 Clop 代表威胁要查明该团伙成员身份并发出暴力威胁。

ShinyHunters 称，这场争端可追溯至 Clop 2025 年的 Oracle E-Business Suite 数据窃取行动。

2025 年 10 月，Clop 利用了 Oracle E-Business Suite 服务器中的多个漏洞，包括一个编号为 CVE-2025-61882 的零日漏洞，在勒索行动中窃取组织的数据。

大约同一时间，自称 "Scattered Lapsus$ Hunters" 的威胁行为者（包括 ShinyHunters）泄露了一个概念验证漏洞利用程序，Oracle 后来证实其与 Clop 攻击中使用的某个漏洞利用程序相符。

当时，ShinyHunters 告诉 BleepingComputer，该漏洞利用程序原本属于他们，Clop 未经授权获取了它。

ShinyHunters 称，在 Oracle 行动之后紧张局势升级，一名 Clop 代表据称威胁了该团伙成员。

"在去年他们实施并从我这窃取的 Oracle EBS 行动期间，cl0p 的某个人亲自给我发消息说，我引用一下（译自俄语）：我的钱比你和你们所有人加起来还多，我很快就会杀了你，"ShinyHunters 告诉 BleepingComputer。

BleepingComputer 尚未独立核实这些指控，并已就此次入侵及 ShinyHunters 提出的指控联系 Clop，若收到回复将更新本文。