Los cibermalos no solo ponen en su punto de mira a empresas e instituciones públicas. También pueden atacarse entre ellos. Aunque algunos grupos colaboran para sus actividades maliciosas y otros surgen como pequeños ‘hijos’ de colectivos más grandes, también puede ocurrir que dos formaciones tengan su rivalidad y hasta se enfrenten sin cuartel por víctimas, dinero, reputación y otras cosas.
La primera de ellas asegura haber conseguido acceso al servidor que usaba Clop para su sitio de filtraciones y haberlo manipulado para colocar allí su propia marca y un mensaje dirigido a sus rivales.
Entre los elementos mostrados se encontraba una representación ASCII del Pokémon Umbreon, asociado a la identidad de ShinyHunters, además de un enlace hacia el propio sitio Tor del grupo.
Además, ShinyHunters también habría accedido a distintos archivos y componentes de la infraestructura del grupo de ransomware.
«Los datos que robamos incluyen códigos fuente, complementos de gravCMS y otras cosas. Todavía los estamos descargando y revisando», ha comentado el colectivo a la web de información sobre ciberseguridad BleepingComputer.
El actor de amenazas también afirma que está revisando la información obtenida y que pretender usarla para presionar a Clop. Así, le ha dado un ultimátum de 72 horas. De esta manera, curiosamente, se está siguiendo al dedillo el modus operandi que suelen llevar a cabo las bandas de ransomware con sus víctimas.
Los ‘cazadores de Pokémon’ consiguieron explotar una vulnerabilidad de carga de archivos sin autenticación en Grav CMS, el sistema de gestión de contenidos empleado por el sitio. A partir de ahí lograron introducir contenido propio y alterar la página.
Además, los atacantes se jactan de tener en su poder las claves privadas usadas por el servicio Tor de Clip. Según los piratas informáticos, disponer de esas claves significaría que podrían mantener el control sobre la dirección .onion incluso aunque Clop intentase expulsarlos del servidor. La banda afirma que podría utilizar esas claves para alojar nuevamente el mismo servicio bajo esa dirección.
Pero, ¿por qué se ha dado este choque? Desde ShinyHunters han explicado que este ataque se ha dado como represalia a amenazas de violencia y de identificar a los miembros de su grupo que supuestamente habría realizado un representante de Clop. Estas amenazas se vertieron durante una disputa sobre la campaña de robo de datos de Oracle E-Business Suite de Clop el año pasado.
«Durante la campaña de Oracle EBS que organizaron y de la que me robaron el año pasado, alguien de cl0p me envió un mensaje personal que decía, y cito textualmente (traducido del ruso): Tengo más dinero que tú y toda tu gente juntos, te mataré pronto», ha explicado el portavoz de ShinyHunters a la citada página.
ShinyHunters es un grupo de ciberdelincuentes dedicado al robo masivo de datos y la extorsión. Surgido alrededor de 2019, está vinculado al ecosistema criminal internacional y a actores de países como Francia, EE.UU. o Reino Unido. Opera principalmente mediante ingeniería social, robo de credenciales y ataques a servicios en la nube. Entre sus víctimas están Ticketmaster, Santander, AT&T, Qantas y Coinbase. Algunas investigaciones hablan de miembros muy jóvenes, de 16 a 25 años, e incluso menores de esa edad.
Clop (o Cl0p) es una banda de ransomware vinculada al ecosistema criminal ruso-parlante. Activa desde 2019, combina el cifrado de sistemas con el robo y posterior publicación de información para presionar a sus víctimas. En los últimos años se ha hecho especialmente conocida por explotar vulnerabilidades en herramientas empresariales de transferencia de archivos, como ocurrió con MOVEit en 2023.
Acerca del autor
