ShinyHunters вымогали данные у Boeing-подразделения до ареста подозреваемых

Подросток из Аммана (Иордания), подозреваемый в руководстве группировкой ShinyHunters, специализирующейся на краже данных и вымогательстве, задержан и, как сообщается, сотрудничает с ФБР в установлении других участников преступной группы. По данным KrebsOnSecurity, задержание подозреваемого с ником Rey произошло в тот момент, когда ShinyHunters вымогали данные у бизнес-подразделения Jeppesen ForeFlight, недавно выделенного из состава Boeing. Примечательно, что отец подозреваемого работает в Royal Jordanian Airlines — авиакомпании, использующей самолёты Boeing.

Подробности

3 октября Reuters со ссылкой на три анонимных источника сообщил, что подозреваемый участник ShinyHunters по имени Saif Al-din Khader был задержан иорданскими властями и сотрудничает с ФБР. KrebsOnSecurity идентифицировал Rey как Khader ещё в ноябре 2025 года — тогда молодой человек признался в работе с несколькими группировками программ-вымогателей.

Rey вновь появился в материале от 28 сентября об аресте 24-летнего киберпреступника Pepijn van der Stap из Нидерландов, подозреваемого в пособничестве ShinyHunters. Сразу после задержания голландца вечером 15 сентября Rey взял на себя контроль над брендом ShinyHunters и публично заявил о краже особо чувствительных данных ФБР и вымогательстве у группировки Cl0p. Он размещал провокационные мемы в Twitter/X, одновременно включая в них изображения аватара бывшего псевдонима Van der Stap — «Umbreon», — пытаясь подставить голландца.

Как отмечалось в отчёте от 28 сентября, ShinyHunters получили доступ к сайту ФБР и другим жертвам, эксплуатируя уязвимость CVE-2026-35273 в PeopleSoft — SaaS-платформе Oracle для управления наймом,HR, льготами и расчётом зарплат. Oracle оперативно выпустила исправление, а Mandiant опубликовала правила для web application firewall (WAF) на случай, если организации не успевают установить обновление. ShinyHunters сообщили BleepingComputer в июне, что изначальной целью эксплуатации PeopleSoft было проникновение в собственную базу данных ФБР, однако эти атаки оказались безуспешными. В последние недели злоумышленники применили известный трюк с URL-кодированием для обхода правил WAF, предложенных Mandiant.

В отчёте от 25 сентября специалисты Mandiant и Google Threat Intelligence Group (GTIG) подтвердили, что ShinyHunters массово эксплуатировали уязвимость PeopleSoft для кражи данных.

Что делать

Организациям, использующим Oracle PeopleSoft, необходимо:

• Немедленно установить исправление для CVE-2026-35273, выпущенное Oracle.
• Проверить актуальность правил WAF и убедиться, что они защищают от обхода через URL-кодирование — стандартные сигнатуры Mandiant могут не покрывать эту технику.
• Провести аудит журналов доступа к PeopleSoft на предмет подозрительной активности, особенно в периоды до установки патча.
• Внедрить MFA для всех административных и привилегированных учётных записей.
• Ограничить доступ к базам данных PeopleSoft из внешних сетей, где это возможно.

Ситуация демонстрирует, как быстро группировки адаптируются к защитным мерам: даже после выпуска патча и рекомендаций WAF злоумышленники нашли способ обойти защиту. Организациям следует рассматривать такие уязвимости как критический приоритет и не полагаться исключительно на сигнатуры WAF.

Источник: Krebs on Security