ShinyHunters viola il sito di leak di Clop sfruttando una falla di Grav CMS

Cos'è successo al sito di leak nel dark web di Clop

Il gruppo ransomware Clop è stato costretto a spostare il proprio sito di leak di dati su un nuovo indirizzo Tor dopo aver confermato che il suo server precedente è stato compromesso e defacciato. Secondo quanto riportato da BleepingComputer, l'attacco è stato condotto da ShinyHunters, un altro noto gruppo di estorsione, e l'intrusione è stata resa possibile da una falla non corretta in Grav CMS, il content management system che Clop utilizzava per gestire il proprio sito di leak.

I siti di leak sono una parte centrale del moderno modello di business del ransomware. Gruppi come Clop li usano per pubblicare dati rubati e fare pressione sulle organizzazioni vittime affinché paghino. Quando è la stessa infrastruttura a essere violata e defacciata, non si tratta di una semplice nota imbarazzante. Significa che gli operatori che gestiscono una delle campagne di estorsione più attive dell'ultimo anno non sono riusciti a proteggere i propri sistemi contro una categoria nota di vulnerabilità web.

Come una falla non corretta di Grav CMS ha esposto l'infrastruttura di un gruppo ransomware

BleepingComputer ha confermato che la vulnerabilità sfruttata era una falla di path traversal non autenticata in Grav CMS. I bug di path traversal consentono a un attaccante di manipolare i percorsi dei file all'interno di un'applicazione web per accedere a file e directory al di fuori dell'ambito previsto, spesso senza bisogno di credenziali di accesso valide. In pratica, ciò significa che un attaccante può potenzialmente leggere, e in alcune configurazioni scrivere, file su un server semplicemente confezionando la richiesta giusta, senza bisogno di password.

Non si tratta di una tecnica di attacco esotica o nuova. Le vulnerabilità di path traversal sono tra le falle più documentate nella sicurezza delle applicazioni web, e le versioni non autenticate sono considerate particolarmente pericolose perché eliminano la necessità di qualsiasi accesso preventivo o credenziale rubata. Il fatto che ShinyHunters sia riuscito a usarne una per irrompere e defacciare il sito di leak di Clop suggerisce che l'istanza CMS eseguisse software obsoleto o non aggiornato, lo stesso tipo di negligenza che i gruppi ransomware sfruttano abitualmente contro le proprie vittime.

Cosa rivela questo sull'igiene della sicurezza, anche per i cybercriminali

C'è una certa ironia in un'operazione ransomware che viene hackerata proprio attraverso il tipo di vulnerabilità software non corretta da cui dipende per violare altre organizzazioni. Gruppi come Clop hanno costruito intere campagne sfruttando sistemi non aggiornati o mal configurati nelle aziende, e questo incidente dimostra che non sono immuni agli stessi fallimenti di sicurezza di base.

Riflette anche una tendenza più ampia di conflitti e rivalità tra gruppi di estorsione, in cui un'organizzazione criminale prende di mira l'infrastruttura di un'altra per vantaggio, reputazione o semplicemente caos. Il defacement e la compromissione del sito di leak di Clop da parte di ShinyHunters si inserisce in questo schema di gruppi cybercriminali che rivolgono i propri strumenti gli uni contro gli altri, non solo contro obiettivi aziendali.

Per i difensori, la lezione è semplice: la gestione delle patch non è opzionale, e non è solo una casella di conformità da spuntare. Che tu sia una Fortune 500 o, apparentemente, un gruppo ransomware che gestisce un CMS per ospitare dati rubati, una vulnerabilità non corretta è una porta aperta. Gli strumenti e le tecniche usati per trovare e sfruttare queste falle non fanno distinzione in base a chi possiede il server.

Cosa significa questo per le vittime delle precedenti violazioni di Clop

Per le organizzazioni che sono state precedentemente prese di mira da Clop, questo sviluppo solleva nuove domande invece di offrire rassicurazione. Se il sito di leak di Clop è stato compromesso da una parte esterna, vale la pena chiedersi cosa sia successo ai dati rubati ospitati lì, chi vi abbia potuto accedere e se il defacement abbia interrotto o ulteriormente esposto parte di quel materiale. Clop ha condotto campagne di furto dati su larga scala contro numerose aziende, incluse rivendicazioni contro grandi organizzazioni come Shell, dove l'azienda ha confermato di stare indagando su una potenziale violazione di dati da 89GB legata alla più ampia attività di estorsione del gruppo. Incidenti come questo illustrano la posta in gioco reale dietro questi siti di leak: non sono astratte curiosità del dark web, custodiscono dati aziendali e dei clienti sensibili legati a violazioni specifiche e identificate.

Quando un sito di leak cambia mano o viene compromesso da un gruppo rivale, le vittime perdono visibilità su dove si trovino effettivamente i propri dati rubati e su chi li controlli. Questa incertezza è di per sé un rischio, indipendentemente dalle richieste di riscatto originariamente formulate.

Cosa significa per te

Se la tua organizzazione è stata nominata in una rivendicazione di violazione di Clop, come l'incidente Shell citato sopra, questo episodio è un promemoria del fatto che il panorama delle minacce attorno ai dati rubati non rimane statico nemmeno dopo una violazione iniziale. Rimozioni di siti di leak, defacement e hack rivali possono modificare come e dove i tuoi dati vengono esposti.

Più in generale, questo incidente è un utile caso di studio per qualsiasi organizzazione che gestisca content management system esposti pubblicamente. Grav CMS, come WordPress, Drupal o altre piattaforme, richiede patch regolari, e le falle di path traversal non autenticate sono esattamente il tipo di vulnerabilità che gli scanner automatizzati e gli attaccanti opportunisti cercano costantemente.

Azioni concrete da intraprendere

• Mantieni ogni CMS, plugin e componente server esposto pubblicamente aggiornato con le ultime patch di sicurezza, indipendentemente da quanto il software sembri secondario.
• Tratta le vulnerabilità non autenticate come priorità alta. Se un attaccante non ha bisogno di credenziali per sfruttare una falla, la tua finestra di esposizione è molto più ampia.
• Se la tua organizzazione è stata precedentemente nominata in una rivendicazione di violazione di Clop, monitora gli aggiornamenti su dove potrebbero riemergere i dati rubati, poiché le interruzioni dei siti di leak possono cambiare l'esposizione dei dati senza preavviso.
• Usa questo incidente come spunto di discussione interno: persino gli attori delle minacce che traggono profitto dai sistemi non aggiornati altrui non sono immuni agli stessi fallimenti di sicurezza di base.