اخترقت مجموعة الابتزاز ShinyHunters موقع تسريبات تابعاً لعملية برمجيات الفدية Clop، المعروفة أيضاً باسم Cl0p، واستبدلت محتواه برسالة تهديد وروابط إلى موقعها الخاص. وأكد BleepingComputer وجود الملف الذي رفعته المجموعة وتشويه الصفحة، لكنه لم يتحقق بشكل مستقل من سرقة سجلات الخادم أو الشيفرة المصدرية أو مفاتيح خدمة Tor الخاصة بالموقع.
بدأ الهجوم مساء الجمعة، عندما استغلت ShinyHunters ما وصفته بثغرة في نظام إدارة المحتوى Grav CMS تتيح رفع ملف من دون مصادقة. احتوى الملف النصي الصغير على رسالة موجهة إلى Clop، تضمنت تحذيراً من تهديد المجموعة ورابطاً إلى موقع ShinyHunters لتسريب البيانات.
تشويه الموقع والسيطرة المزعومة
بعد ساعات، قالت ShinyHunters إنها سيطرت بالكامل على موقع Clop وشوّهته. وأظهر الموقع لاحقاً رسماً نصياً لشخصية Umbreon، المستخدمة شعاراً لدى ShinyHunters، إلى جانب رابط إلى موقع المجموعة ورسالة تفيد بأنها تتجذر داخل الأنظمة منذ عام 2019. وأكد BleepingComputer أن الصفحة المشوهة كانت تُخدم من البنية التحتية التابعة لـClop.
تدعي ShinyHunters أنها سرقت الشيفرة المصدرية وإضافات Grav CMS وسجلات النظام وملفات أخرى، بما في ذلك الملفات الموجودة ضمن /var/log، والتي قد تتضمن بيانات عن نشاط النظام وعمليات المصادقة وعناوين IP للمتصلين. كما تزعم أنها حصلت على المفاتيح الخاصة المستخدمة لخدمة Tor onion service. وإذا صحت هذه النقطة، فقد تتيح لها استضافة نسخة من الموقع باستخدام عنوان onion نفسه على خوادم تسيطر عليها.
من الاختراق إلى الابتزاز
حوّلت ShinyHunters الحادثة إلى محاولة ابتزاز علنية، فأضافت تحديثات يومية إلى موقعها وهددت بنشر البيانات التي تقول إنها سرقتها إذا لم تستجب Clop لمطالبها. بدأت المطالبة بمبلغ من ثمانية أرقام، مع التهديد بزيادته كل 24 ساعة، ثم أضيف طلب اعتذار علني.
هددت المجموعة أيضاً بكشف معلومات عن شركات يُزعم أنها دفعت لـClop خلال حملة ابتزاز مرتبطة بخوادم Oracle E-Business Suite، بما في ذلك مبالغ الدفع وعناوين Bitcoin المرتبطة بها. وفي 21 سبتمبر، نشرت Clop رسالة قصيرة على موقعها الذي كان قد تعرض للاختراق، طالبت فيها ShinyHunters بالتواصل عبر منصة قديمة، لكن المجموعة رفضت ذلك وواصلت طلب الدفع.
خلاف سابق بين مجموعتي جرائم إلكترونية
تقول ShinyHunters إن الهجوم جاء رداً على تهديدات نُسبت إلى ممثل عن Clop خلال خلاف بدأ بعد حملة سرقة بيانات من Oracle E-Business Suite في عام 2025. وخلال تلك الحملة، استغلت Clop عدة ثغرات، من بينها ثغرة يوم الصفر CVE-2025-61882، فيما سربت جهات تطلق على نفسها اسم Scattered Lapsus$ Hunters، وتضم ShinyHunters، استغلالاً تجريبياً قالت Oracle لاحقاً إنه يطابق الاستغلال المستخدم في هجمات Clop.
وتقول ShinyHunters إن الاستغلال كان تابعاً لها أصلاً وإن Clop حصلت عليه دون إذن. كما نقلت عن المجموعة ادعاءات بصدور تهديدات عنيفة ضد أعضائها، وهي ادعاءات لم يتحقق منها BleepingComputer بصورة مستقلة.
لماذا يهم هذا الخبر؟
تكشف الواقعة أن مواقع تسريب عصابات الفدية ليست مجرد صفحات دعائية، بل بنى تشغيلية قد تحتوي على سجلات ومفاتيح وصول وبيانات تكشف اتصالات الزوار أو تمكّن من انتحال الموقع. وفي الوقت نفسه، تبقى الحدود بين الوقائع المؤكدة والادعاءات غير المثبتة مهمة هنا: المؤكد هو رفع الملف وتشويه الموقع، أما نطاق الوصول وسرقة المفاتيح والبيانات فما زال يعتمد على رواية ShinyHunters. لذلك لا يثبت المصدر وحده ما إذا كانت المجموعة قادرة فعلاً على الاحتفاظ بعنوان Tor أو نشر البيانات المزعومة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.