Хакеры ShinyHunters взломали сайт утечек Clop через уязвимость в Grav CMS

Сайты утечек данных, которые ransomware-группировки используют для давления на жертв, сами могут становиться мишенью атак. Именно это произошло с Clop: её ресурс был скомпрометирован и дефейсирован, после чего группировка была вынуждена подтвердить инцидент и сменить адрес в сети Tor. Атаку, по данным BleepingComputer, провела группировка ShinyHunters, эксплуатировавшая уязвимость в системе управления контентом Grav CMS. Инцидент примечателен тем, что демонстрирует уязвимость инфраструктуры даже самих киберпреступников. Помимо репутационного удара, подобный взлом может привести к утечке внутренних данных группировки, нарушению её операционных процессов и потере доверия со стороны партнёров по преступному бизнесу.

Подробности

Атака на сайт утечек Clop была осуществлена через неисправленную уязвимость в Grav CMS. По информации BleepingComputer, речь идёт об уязвимости обхода пути (path traversal), не требующей аутентификации, — то есть эксплуатировать её может злоумышленник без учётных данных. Именно поэтому полученный доступ позволил атакующим скомпрометировать сервер и заменить содержимое сайта. Grav CMS — популярная открытая система управления контентом на PHP, не требующая базы данных и часто используемая для небольших сайтов и блогов. Уязвимости обхода пути в подобных системах позволяют читать произвольные файлы на сервере и в ряде случаев приводить к полному захвату ресурса. Специфический CVE-идентификатор для данной уязвимости в исходном сообщении не указан, как и сведения о том, какая именно версия Grav CMS затронута и выпущен ли патч. После подтверждения компрометации Clop была вынуждена перенести свой сайт утечек на новый Tor-адрес, поскольку прежний ресурс был дефейсирован.

Что делать

Инцидент напрямую касается организаций, использующих Grav CMS на публично доступных серверах. До выхода официального патча рекомендуется принять следующие меры: - Проверить, используется ли Grav CMS в вашей инфраструктуре, и обновить её до актуальной версии, если обновление доступно. - Ограничить доступ к административным и служебным разделам CMS: закрыть их за VPN, средствами MFA или ограничениями по IP-адресам. - Провести проверку журналов веб-сервера на предмет подозрительных запросов с признаками обхода пути (последовательности вида `../` и их URL-кодированные варианты). - Исключить хранение конфиденциальных данных и учётных данных в файловой структуре, доступной веб-серверу. - Настроить мониторинг целостности файлов сайта, чтобы своевременно обнаруживать дефейс и несанкционированные изменения. - При наличии признаков компрометации — изолировать сервер и провести внеплановый аудит безопасности. Стоит отметить, что угроза затрагивает не только сайты преступных группировок, но и любые публичные ресурсы на уязвимой версии Grav CMS, поэтому игнорировать её не следует. Инцидент с Clop напоминает, что уязвимости в открытых CMS не делают различий между законопослушными организациями и киберпреступниками. Своевременное обновление и ограничение доступа к административным интерфейсам остаются базовыми, но критически важными мерами защиты.

Источник: BleepingComputer