Cybergang-Fehde: ShinyHunters knackt Cl0p-Darknetseite

Im Untergrund des Internets gehen zwei kriminelle Banden aufeinander los: ShinyHunters haben die Darknetseite von Cl0p übernommen. Beide Banden haben sich der Erpressung (Ransomware) verschrieben, nun tragen sie einen kindlichen Streit öffentlich aus.

Die Cybergang Cl0p wurde durch Einbrüche und Datendiebstahl über Sicherheitslücken in der Datentransfersoftware Progress MOVEit bekannt, setzte später aber auch etwa auf Schwachstellen in Oracles E-Business-Suite (EBS), um Unternehmensdaten zu stehlen und die Opfer damit zu erpressen. ShinyHunters verfährt ebenso, in diesem Jahr wurden Angriffe auf Oracle-PeopleSoft-Schwachstellen von der Bande beobachtet. Auch diese Gang hat renommierte Opfer vorzuweisen, im April hat sie etwa Rockstar Games erpresst.

Keine Ehre unter Dieben

Zum Wochenende hat ShinyHunters nun den Darknet-Auftritt von Cl0p übernommen und mit einem Defacement versehen. In Anlehnung an die Plaketten, die Strafverfolger auf beschlagnahmte Webseiten von kriminellen Vereinigungen setzen, bekamen Besucher der Darknet-Seite den Schriftzug „Domain seized by ShinyHunters“ zu sehen, auf Deutsch: „Domain von ShinyHunters beschlagnahmt“.

Der Rest der Seite war Malwarebytes zufolge in der ShinyHunters-Leaksite-Optik gehalten. Zudem stand dort zu lesen, dass die Forderungen sich alle 24 Stunden erhöhen, wenn Cl0p nicht auf die Forderungen eingeht – und diese lautet, eine Entschuldigung bei ShinyHunters zu veröffentlichen. Außerdem fordern ShinyHunters eine Kontaktaufnahme über die offizielle E-Mail-Adresse von Cl0p mit Belegen, wie reich sie wirklich seien. Zudem belief sich eine Lösegeldforderung auf einen achtstelligen Betrag. Gegenüber Bleeping Computer haben ShinyHunters angegeben, die volle Kontrolle über die Darknetseite erlangt zu haben. Damit haben sie angeblich Zugang zu allen gestohlenen Daten und gaben weiter an, die Cl0p-Bande damit erpressen zu wollen. Auslöser des derzeitigen Streits sei demnach, dass ein Cl0p-Mitglied gedroht habe, Identitäten von ShinyHunters-Mitgliedern offenzulegen, und mit Gewalt gegen sie kokettiert habe – als Reaktion darauf, dass ShinyHunters eine Cl0p-Kampagne gestört hatte.

Inzwischen ist auf der Darknetseite von Cl0p nur noch ein knapper russischer Schriftzug mit kyrillischen Zeichen zu sehen, der übersetzt lautet: „Entspannt euch, wir arbeiten daran“. Die Leaksite mit den Daten ist hingegen derzeit nicht erreichbar, dort kommt es lediglich zu Timeouts.

Der Situation lässt sich sicherlich etwas Positives abgewinnen: Solange die kriminellen Gruppen aufeinander losgehen, haben sie weniger Ressourcen dafür übrig, Organisationen im Internet anzugreifen.