دستکاری سایت Clop توسط شاینی‌هانترز
مهاجمان فایل متنی کوچکی را روی سایت افشای اطلاعات Clop آپلود کردند که در آن به این گروه درباره ادامه تهدیدها هشدار داده شده بود و لینکی نیز به سایت افشای اطلاعات این گروه وجود داشت. در متن فایل نیز آمده بود: «این سایت توسط شاینی‌هانترز هک شده است. شاید بهتر باشد دیگر ما را تهدید نکنید.»
لینک سایت افشای اطلاعات این گروه نیز در همان فایل قرار داشت. بررسی‌ها نشان داد این فایل روی سرور Clop آپلود شده و از طریق سایت Tor این گروه باج‌افزاری نیز به‌صورت مستقیم قابل دانلود بوده است.
چند ساعت بعد، مهاجمان اعلام کردند که سایت Clop را به‌طور کامل دستکاری کرده‌اند. بررسی سایت نشان داد که صفحه اصلی آن با صفحه‌ای حاوی تصویر ASCII از Umbreon جایگزین شده است؛ همان شخصیت پوکمون (Pokémon) که به‌عنوان لوگوی این گروه استفاده می‌شود. همچنین در صفحه دستکاری‌شده لینکی به سایت Tor این گروه و پیام «از سال 2019 تاکنون، به سیستم‌های شما با دسترسی Root نفوذ کرده‌ایم» درج شده بود. به گفته این گروه، صفحه دستکاری‌شده در زمان انتشار گزارش همچنان روی زیرساخت Clop در دسترس بود.
آغاز اخاذی از Clop
پس از انتشار گزارش، شاینی‌هانترز در سایت افشای اطلاعات خود به‌صورت روزانه درباره روند این ماجرا اطلاع‌رسانی کرد و مدعی شد که Clop اکنون هدف اخاذی قرار گرفته است. این گروه تهدید کرد در صورت برآورده نشدن خواسته‌هایش، اطلاعاتی را که ادعا می‌کند از Clop به دست آورده است، منتشر خواهد کرد.
در ابتدا، مهاجمان خواستار پرداخت مبلغی هشت‌رقمی شدند و اعلام کردند که در صورت تأخیر Clop در پاسخ‌گویی، این مبلغ هر 24 ساعت افزایش خواهد یافت. در ادامه، عذرخواهی عمومی را نیز به خواسته‌های خود اضافه کرد. همچنین اعلام کرد در صورت برآورده نشدن مطالبات، اطلاعات شرکت‌هایی را منتشر خواهد کرد که ادعا می‌شود در جریان اخاذی Clop از مشتریان Oracle E-Business Suite، به این گروه وجه پرداخت کرده‌اند. این گروه مدعی شد که اطلاعات مذکور شامل مبالغ پرداختی و آدرس‌های مرتبط با بیت‌کوین نیز می‌شود.
Clop در 21 سپتامبر در سایت افشای اطلاعات خود از مهاجمان خواست برای برقراری ارتباط از پلتفرم قبلی استفاده کنند. مهاجمان این پیشنهاد را رد کردند و بار دیگر خواستار پرداخت باج از سوی Clop شدند.
شاینی‌هانترز مدعی سرقت داده و کلیدهای خصوصی Clop شد
شاینی‌هانترز مدعی شد به دسترسی کامل به سرور Clop دست یافته و کد منبع، پلاگین‌های Grav CMS، لاگ‌های سیستم و اطلاعات دیگری را از این سرور به دست آورده است. این گروه اعلام کرد همچنان در حال دانلود و بررسی داده‌های به‌دست‌آمده از سرور است.
همچنین مهاجمان ادعا کردند تمام فایل‌های موجود در مسیر /var/logرا سرقت کرده‌اند. این فایل‌ها ممکن است حاوی اطلاعاتی درباره فعالیت‌های سیستم، لاگ‌های احراز هویت و حتی آدرس‌های IP افرادی باشند که به سرور متصل شده‌اند.
علاوه براین، این گروه مدعی شد به کلیدهای خصوصی مورد استفاده برای سرویس Onion سایت Clop در شبکه Tor دست یافته است. در صورت صحت این ادعا، این کلیدها می‌توانند به مهاجمان اجازه دهند سایت Clop را با همان آدرس Onion، اما روی سرورهایی تحت کنترل خود، راه‌اندازی کنند.
با این حال، بررسی‌های مستقل فقط دستکاری سایت Clop و آپلود فایل در مراحل اولیه حمله را تأیید کرده‌اند. ادعای سرقت لاگ‌های سرور، کد منبع و کلیدهای خصوصی سرویس Onion Clop تاکنون به‌صورت مستقل تأیید نشده است. این گروه اعلام کرد پس از بررسی داده‌های به‌دست‌آمده، قصد دارد از اطلاعات سرقت‌شده برای اخاذی از Clop استفاده کند. همچنین مهاجمان اعلام کردند که قصد دارند در سایت افشای اطلاعات خود پیامی خطاب به Clop منتشر کنند و از این گروه بخواهند ظرف 72 ساعت با آنها تماس بگیرد.
در همین حال، پژوهشگر امنیت سایبری VXDB اعلام کرد تصویر Umbreon که اکنون در سایت افشای اطلاعات Clop قرار دارد، همان تصویری است که در حمله به سایت HackForums در آگوست 2020 استفاده شده بود. شاینی‌هانترز نیز در آن زمان مسئولیت این حمله را بر عهده گرفته بود.
دلیل آغاز اختلافات میان دو گروه
شاینی‌هانترز مدعی است حمله به زیرساخت Clop در واکنش به تهدیدهای یکی از اعضای این گروه انجام شده است. به گفته مهاجمان، این تهدیدها پس از مختل شدن فعالیت Clop در یک کمپین سرقت داده مطرح شد؛ یکی از اعضای Clop نیز مهاجمان را به افشای هویت و حتی اقدامات خشونت‌آمیز تهدید کرده بود.
ریشه این اختلافات، به کمپین سرقت داده Clop از Oracle E-Business Suite در سال 2025 بازمی‌گردد. این گروه در اکتبر 2025، با سوءاستفاده از چندین آسیب‌پذیری در سرورهای Oracle E-Business Suite، از جمله آسیب‌پذیری روز صفر (Zero-Day) با شناسه CVE-2025-61882، داده‌های سازمان‌ها را در جریان حملات اخاذی سرقت کرد.
تقریباً در همان زمان، گروهی از مهاجمان با نام Scattered Lapsus$ Hunters که شاینی‌هانترز نیز در میان اعضای آن بود، یک اکسپلویت اثبات مفهوم (PoC) منتشر کردند. اوراکل بعدها تأیید کرد این اکسپلویت با نمونه مورد استفاده در حملات Clop مطابقت داشته است.
شاینی‌هانترز در آن زمان مدعی شده بود که اکسپلویت مذکور ابتدا توسط این گروه توسعه یافته و Clop آن را بدون مجوز به دست آورده است. به گفته این گروه، همین موضوع منجر به تشدید اختلافات شد. با این حال، ادعاهای مطرح‌شده درباره تهدیدهای Clop و ارتباط آنها با حمله اخیر تاکنون به‌صورت مستقل تأیید نشده‌اند. همچنین درباره جزئیات این اختلافات و ادعاهای مربوط به نفوذ به زیرساخت Clop، پاسخی از سوی این گروه منتشر نشده است.
