FBI arreston një tjetër të dyshuar si haker i ShinyHunters pas shkeljes së sigurisë në agjenci

FBI-ja ka arrestuar një tjetër anëtar të dyshuar të grupit të zhvatjes ShinyHunters, i cili besohet se është i përfshirë në shkeljen e fundit të sistemeve të FBI-së, njoftoi të premten drejtori Kash Patel.

“Agjentët tanë në terren kanë arrestuar një tjetër bashkëpunëtor të dyshuar të grupit ShinyHunters – grupi që besohet të jetë përgjegjës për incidentin e fundit në http://FBIjobs.gov, i cili ndodhi në një platformë të menaxhuar nga një shitës i palës së tretë”, tha Patel në X.

“Ky është arrestimi i fundit që FBI ka bërë brenda pak ditësh që përfshin këtë rrjet, ndërsa punojmë pa ndërprerje për të shpërbërë grupin, për të ndjekur pista dhe prova të reja dhe për të vepruar shpejt.”

Ndërsa Patel nuk e identifikoi të dyshuarin dhe as nuk zbuloi se ku ndodhi arrestimi, The New York Times raporton se i dyshuari është një shtetas kanadez i cili u arrestua në Pensilvani dhe konsiderohet bashkëpunëtor kryesor në ndërhyrje.

Autoritetet nuk e kanë bërë publikisht të ditur emrin e të dyshuarit apo akuzat specifike kundër tij.

Arrestimi është i fundit në një seri veprimesh të zbatimit të ligjit kundër ShinyHunters pasi grupi i hakerëve shkeli sistemet e FBI-së muajin e kaluar.

ShinyHunters i tha BleepingComputer në shtator se kishte aksesuar sistemet e FBI-së duke shfrytëzuar një dobësi të dyshuar zero-day të Oracle PeopleSoft përpara se të kalonte anash në infrastrukturën AWS GovCloud të menaxhuar nga FBI.

Aktorët kërcënues pretenduan se vodhën midis 2TB dhe 3TB të dhëna, duke përfshirë informacione mbi punonjësit aktualë dhe të mëparshëm të FBI-së, aplikantët për punë, të dhënat mjekësore dhe psikiatrike, si dhe të dhënat e shërbimit të brendshëm.

Mostrat e të dhënave të ndara me BleepingComputer dhe media të tjera konfirmuan se shkelja ekspozoi një sërë informacionesh të punonjësve, duke përfshirë adresat e shtëpisë, numrat e Sigurimeve Shoqërore, detyra të ndjeshme pune, informacione rreth anëtarëve të familjes së punonjësve dhe të dhëna të tjera personale.

NY Times raporton gjithashtu se një memo e brendshme e FBI-së tha se agjencia supozoi se shkelja kishte prekur të gjithë punonjësit.

FBI-ja ka thënë që incidenti rrjedh nga një platformë e menaxhuar nga një kontraktor i palës së tretë që dështoi të instalonte një përditësim sigurie.

Që nga sulmi kibernetik i FBIJobs, byroja ka rritur ndjeshëm presionin për identifikimin dhe kapjen e bandës së zhvatjes ShinyHunters.

Më 15 shtator, policia holandeze arrestoi një burrë 24-vjeçar nga Amsterdami si pjesë e një hetimi mbi grupin e hakerëve. I dyshuari u identifikua si Pepijn van der Stap, një haker holandez i njohur më parë në internet si “Umbreon”.

ShinyHunters mohoi që van der Stap ishte i lidhur me grupin, duke i thënë BleepingComputer në atë kohë: “Ai individ nuk ka asnjë lidhje me ne. Sinqerisht, po qeshim.”

Menjëherë pas kësaj, FBI ndërmori hapin e pazakontë duke i paralajmëruar publikisht anëtarët e ShinyHunters që të dorëzoheshin , duke thënë se hetuesit po vazhdonin të identifikonin njerëzit e përfshirë në grup.

“Arrestimet kanë një mënyrë për të ndryshuar se kush është i gatshëm të flasë, dhe infrastruktura e sekuestruar ka një mënyrë për të na treguar se kush ka mbetur”, tha në atë kohë Ndihmësdrejtori i Divizionit Kibernetik të FBI-së, Brett Leatherman.

“Sa më gjatë të qëndrosh këtu, aq më shumë mësojmë për ty. Ti e di si të na gjesh dhe ne dimë si t’ju gjejmë. Të sugjeroj të na kontaktosh fillimisht, ndërsa zgjedhja është ende e jotja.”

Disa ditë më vonë, një anëtar i dyshuar i ShinyHunters, i njohur në internet si “Rey” , thuhet se u ndalua në Jordani dhe filloi të bashkëpunonte me FBI-në dhe agjencitë ndërkombëtare të zbatimit të ligjit.

Reuters raportoi se autoritetet jordaneze arrestuan Rey-n, të identifikuar si Saif al-Din Khader, dhe se burimet thanë se ai po ndihmonte hetuesit në gjetjen e anëtarëve të tjerë të dyshuar të grupit.

Shenja përçarjeje filluan të shfaqen edhe brenda ShinyHunters afërsisht në të njëjtën kohë.

Përfaqësuesi kryesor i grupit, i cili kishte komunikuar rregullisht me BleepingComputer dhe gazetarë të tjerë dhe kishte njohuri të hollësishme për sulmet e ShinyHunters gjatë dy viteve të fundit, ndaloi së përgjigjuri në Telegram të martën e kaluar.

Ajo llogari në Telegram tani duket se është fshirë.

I njëjti përfaqësues vazhdoi të komunikonte me BleepingComputer pas arrestimit të van der Stap, duke sugjeruar se van der Stap nuk ishte personi që operonte llogarinë.

Përafërsisht në të njëjtën kohë me arrestimin e Rey-t, një tjetër person i dyshuar si i lidhur me ShinyHunters me njohuri të thella të sulmit kibernetik të FBI-së mbylli një llogari mesazhesh online dhe faqja e internetit e rrjedhjes së të dhënave të grupit u mbyll.

Më vonë u lançua një faqe e re për rrjedhje informacioni për ShinyHunters, duke sugjeruar se të paktën disa anëtarë të operacionit mbetën aktivë.

Nuk është e qartë nëse zhdukja e përfaqësuesit kryesor të grupit është e lidhur me ndonjë nga arrestimet e fundit.

“Ne do të vazhdojmë të punojmë ngushtë me partnerët tanë për të ndërprerë atë që ka mbetur nga grupi ShinyHunters dhe bashkëpunëtorët e tyre, pavarësisht se ku veprojnë”, tha Patel të premten.

ShinyHunters është një grup zhvatjeje i njohur për vjedhjen e të dhënave nga aplikacionet web dhe platformat SaaS të bazuara në cloud, duke kërkuar më pas pagesa shpërblimi nga organizatat viktima nën kërcënimin e rrjedhjes së të dhënave të vjedhura.

Emri ShinyHunters është lidhur me aktorë të shumtë kërcënimesh të përfshirë në shkelje të të dhënave që datojnë të paktën që nga viti 2018.

Gjatë dy viteve të fundit, hakerat që veprojnë nën emrin ShinyHunters janë bërë veçanërisht aktivë, duke kryer fushata vjedhjeje të dhënash dhe zhvatjeje kundër organizatave në të gjithë botën.

Fushatat e fundit kanë synuar Salesforce dhe mjedise të tjera SaaS në cloud, me aktorët kërcënues të lidhur me shkelje që prekin kompani duke përfshirë Google, Cisco, PornHub dhe gjigantin e takimeve online Match Group.

Në disa sulme, grupi shkeli të drejtat e kompanive të integrimit të palëve të treta dhe vodhi tokena autentifikimi që sulmuesit mund t’i përdornin më pas për të hyrë në mjediset e lidhura SaaS dhe për të vjedhur të dhënat e klientëve.

Kohët e fundit, ShinyHunters ka drejtuar fushata phishing me zë (vishing) që synojnë llogaritë e Okta, Microsoft dhe Google me hyrje të vetme (SSO) , duke u imituar si personel mbështetës i IT-së për të mashtruar punonjësit që të fusin kredencialet dhe kodet e autentifikimit shumëfaktorësh (MFA) në faqet e phishing-ut.

Siç raportoi për herë të parë BleepingComputer , grupi ka përdorur gjithashtu sulme fshirëse të kodit të pajisjes për të vjedhur tokenët e autentifikimit të llogarisë Microsoft.

Pasi marrin kredencialet dhe kodet e vërtetimit, sulmuesit përdorin llogaritë e kompromentuara SSO për të hyrë në platformat e lidhura të ndërmarrjeve, duke përfshirë Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk dhe Dropbox.

ShinyHunters ishte gjithashtu pas një sulmi masiv të vjedhjes së të dhënave në Instructure Canvas në maj që shkaktoi ndërprerje të konsiderueshme në të gjithë platformën. Instructure më vonë arriti një “marrëveshje” me aktorët kërcënues për t’i parandaluar ata të publikojnë të dhënat e vjedhura gjatë shkeljes.

Përveç kryerjes së shkeljeve të veta, ShinyHunters vepronte gjithashtu si një grup shantazhimi si shërbim, duke ndihmuar aktorë të tjerë kërcënues të shantazhonin organizatat që ata kishin kompromentuar.

Zbatimi i ligjit ka arrestuar të dyshuar të shumtë gjatë viteve në raste të lidhura me emrin ShinyHunters, duke përfshirë individë të lidhur me sulmet e vjedhjes së të dhënave Snowflake , shkeljet në PowerSchool dhe funksionimin e forumit të hakerimit Breached v2 .

Pavarësisht këtyre arrestimeve, kriminelët kibernetikë vazhduan të vepronin nën emrin ShinyHunters, ndërsa kryenin sulme vjedhjeje të dhënash dhe zhvatjeje kundër organizatave në të gjithë botën.