ShinyHunters prende il controllo del sito di leak di Clop sulla rete Tor e ricatta i suoi gestori

ShinyHunters ha compromesso e deturpato il sito di leak sulla rete Tor gestito dal gruppo ransomware Clop, minacciando pubblicamente di ricattare una delle operazioni di estorsione più note dell’ecosistema criminale informatico.

L’intrusione è andata oltre una semplice rivendicazione non supportata da prove. Un’analisi pubblicata il 19 settembre 2026 ha confermato in modo indipendente che ShinyHunters ha caricato un file sul server di Clop e ha successivamente sostituito i contenuti del sito con una pagina di defacement sotto il proprio controllo.

Le affermazioni più ampie restano non verificate. ShinyHunters sostiene di aver ottenuto i log del server, il codice sorgente, i plugin di Grav CMS e le chiavi private associate all’onion service di Clop. Se il materiale fosse autentico, potrebbe esporre gli operatori di Clop e consentire a ShinyHunters di impersonare il sito di leak all’indirizzo Tor già noto.

La compromissione è iniziata con un caricamento non autenticato

ShinyHunters ha dichiarato che l’intrusione è iniziata venerdì sera sfruttando una vulnerabilità di caricamento file non autenticato in Grav CMS, il content management system utilizzato dall’infrastruttura del sito di leak di Clop.

La vulnerabilità precisa di Grav CMS non è stata resa nota. Non sono disponibili identificativi CVE, intervalli di versioni interessate o advisory del fornitore; non è quindi possibile stabilire se ShinyHunters abbia sfruttato una falla nel CMS, in un plugin o nella configurazione specifica di Clop.

Il primo segnale verificato dall’esterno è stato un piccolo file di testo caricato sul sito di leak. Il file era direttamente accessibile dal servizio Tor di Clop e dimostrava che l’aggressore poteva inserire contenuti nell’infrastruttura controllata dall’operazione ransomware. Il messaggio identificava ShinyHunters, intimava a Clop di non minacciare il gruppo e indirizzava i visitatori verso il sito di leak di ShinyHunters.

Diverse ore dopo, la pagina di Clop ha iniziato a mostrare un defacement completo. Conteneva un’illustrazione ASCII raffigurante Umbreon, il Pokémon utilizzato come emblema da ShinyHunters, un link al sito Tor del gruppo e il messaggio: «rooting your systems since ’19 ;)».

Il ricercatore di cybersecurity VXDB ha osservato che l’illustrazione corrispondeva a immagini utilizzate durante il defacement di HackForums dell’agosto 2020, anch’esso rivendicato all’epoca da ShinyHunters.

Il caricamento del file e la modifica della pagina sono stati verificati in modo indipendente attraverso il servizio di Clop. Dimostrano l’accesso in scrittura non autorizzato, ma non provano di per sé che ShinyHunters abbia ottenuto il controllo amministrativo o l’accesso root al server sottostante.

Le dichiarazioni sul furto dei log e delle chiavi d’identità Tor alzano la posta

ShinyHunters ha descritto il proprio accesso come completo e ha dichiarato di aver copiato il codice sorgente, i plugin di Grav CMS, altri dati del server e tutti i file contenuti in /var/log. Ha aggiunto di essere ancora impegnata a scaricare ed esaminare il materiale.

Queste affermazioni non sono state verificate in modo indipendente.

I sistemi Linux utilizzano comunemente /var/log per conservare i record relativi all’autenticazione, ai servizi, agli errori delle applicazioni e all’attività di rete. Il contenuto preciso dipende dalla configurazione dell’host. Se Clop conservava registri dettagliati degli accessi, i file rubati potrebbero contenere eventi amministrativi, informazioni sulle connessioni o indirizzi IP associati alle persone che hanno visitato o gestito il servizio.

La potenziale esposizione non riguarda soltanto gli operatori di Clop. Il sito di leak potrebbe essere stato visitato da giornalisti, ricercatori, vittime, negoziatori e altri utenti. Non è noto se nei log che si presume siano stati rubati compaia una parte delle loro informazioni.

ShinyHunters sostiene inoltre di aver ottenuto le chiavi private dell’onion service di Clop. Gli indirizzi onion di Tor sono legati crittograficamente al relativo materiale crittografico. Chi disponesse di chiavi valide potrebbe quindi presentare un servizio sostitutivo utilizzando l’indirizzo già esistente di Clop, anche dopo la revoca dell’accesso al server originale.

Un simile takeover comporterebbe diversi rischi. I visitatori potrebbero credere di comunicare con Clop mentre stanno invece raggiungendo un’infrastruttura controllata da ShinyHunters. Il sito sostitutivo potrebbe diffondere informazioni false, raccogliere messaggi o reindirizzare vittime e negoziatori.

Questo scenario dipende interamente dal fatto che le chiavi siano autentiche, complete e utilizzabili. Al momento non esistono prove indipendenti che ne confermino il furto.

Una disputa tra gruppi criminali si trasforma in un tentativo di estorsione

ShinyHunters ha dichiarato di voler pubblicare una richiesta di estorsione con cui intimare a Clop di mettersi in contatto entro 72 ore. In questo modo, una tecnica normalmente rivolta contro aziende e istituzioni pubbliche viene utilizzata contro un’altra operazione di estorsione.

Secondo ShinyHunters, l’intrusione è stata una ritorsione per minacce che sarebbero state pronunciate da un rappresentante di Clop. Il gruppo sostiene che il conflitto sia nato dalla campagna di furto di dati ai danni di Oracle E-Business Suite condotta da Clop nell’ottobre 2025.

Durante quella campagna, Clop ha sfruttato diverse vulnerabilità di Oracle E-Business Suite, tra cui CVE-2025-61882, per rubare dati organizzativi a fini estorsivi. Attori che utilizzavano il nome «Scattered Lapsus$ Hunters», tra cui ShinyHunters, hanno pubblicato un exploit proof-of-concept nello stesso periodo. In seguito Oracle ha confermato che il proof of concept corrispondeva a un exploit utilizzato negli attacchi di Clop.

ShinyHunters sostiene che l’exploit appartenesse originariamente ai suoi membri e che Clop lo abbia ottenuto senza autorizzazione. Afferma inoltre che un rappresentante di Clop abbia minacciato di identificare e uccidere alcuni membri del gruppo.

Queste accuse non sono state verificate in modo indipendente e, nelle notizie disponibili, non compare una risposta di Clop. Le prove confermate sono più circoscritte: ShinyHunters ha inserito un file nell’infrastruttura di Clop e ha preso il controllo dei contenuti mostrati dal sito di leak.

CVE-2025-61882 resta un rischio concreto per le aziende

La vulnerabilità di Grav CMS che sarebbe stata utilizzata contro Clop è distinta da CVE-2025-61882. Quest’ultima è rilevante perché si trova al centro della disputa e continua a rappresentare un rischio serio per chi gestisce Oracle E-Business Suite.

CVE-2025-61882 interessa il componente BI Publisher Integration di Oracle Concurrent Processing in Oracle E-Business Suite. Le versioni interessate sono Oracle Concurrent Processing dalla 12.2.3 alla 12.2.14.

Un aggressore non autenticato con accesso di rete HTTP può sfruttare da remoto la vulnerabilità e arrivare potenzialmente a prendere il controllo di Oracle Concurrent Processing. Il punteggio CVSS 3.1 è pari a 9,8 e il vettore è:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

La classificazione è CWE-287, che indica un problema di autenticazione. Lo sfruttamento non richiede né privilegi né l’interazione dell’utente, mentre gli impatti previsti su riservatezza, integrità e disponibilità sono tutti considerati elevati.

Il 6 ottobre 2025 CISA ha aggiunto CVE-2025-61882 al proprio catalogo delle vulnerabilità sfruttate note. Il termine per la remediation da parte delle agenzie federali civili statunitensi era il 27 ottobre 2025 e il catalogo indica che la vulnerabilità è stata utilizzata in campagne ransomware.

CISA impone alle organizzazioni di applicare le mitigazioni di Oracle, seguire le indicazioni applicabili della BOD 22-01 per i servizi cloud oppure dismettere il prodotto quando le mitigazioni non sono disponibili.

Oracle non è comparsa nel catalogo KEV soltanto in questa occasione. Negli ultimi 90 giorni sono state aggiunte altre tre vulnerabilità associate al fornitore: CVE-2026-46817 il 15 luglio 2026, CVE-2026-21962 il 24 agosto 2026 e CVE-2015-5287 il 26 agosto 2026.

Cosa dovrebbero verificare i responsabili della difesa

Le organizzazioni che eseguono le versioni interessate di Oracle E-Business Suite dovrebbero dare priorità alle patch o alle mitigazioni fornite dal vendor, soprattutto quando Oracle Concurrent Processing o BI Publisher Integration sono raggiungibili tramite HTTP.

I team di sicurezza dovrebbero esaminare i log web e di autenticazione alla ricerca di richieste non autenticate dirette alle funzionalità interessate. Le indagini dovrebbero inoltre verificare la presenza di modifiche inattese alla configurazione, attività amministrative non autorizzate, accessi anomali ai dati aziendali e prove che Oracle Concurrent Processing sia stato modificato o preso in controllo.

Prima della remediation, i sistemi potenzialmente compromessi dovrebbero essere messi in sicurezza preservando le evidenze pertinenti. CISA indica come non necessaria, per questa voce, la fase di triage forense prevista dalla BOD-26-04, ma tale indicazione non esclude la raccolta di evidenze specifiche per l’incidente quando si sospetta uno sfruttamento.

Per gli operatori di Grav CMS, le indicazioni immediate sono meno precise, perché non sono stati resi noti né la condizione sfruttata, né le versioni interessate, né lo stato delle patch. Gli amministratori dovrebbero limitare gli accessi non necessari, controllare le funzionalità di caricamento e i plugin e verificare la presenza di modifiche non autorizzate nei file e nei contenuti web. L’incidente di Clop dimostra che anche un piccolo caricamento non autorizzato può trasformarsi in un percorso verso il controllo dei contenuti pubblici.

I danni confermati sono più circoscritti delle accuse più gravi

ShinyHunters ha dimostrato di poter modificare la piattaforma di estorsione di Clop e compromettere pubblicamente il controllo che il gruppo esercitava sulla propria infrastruttura. Questo, da solo, danneggia l’affidabilità del sito utilizzato da Clop per fare pressione sulle vittime.

Le possibilità più rilevanti restano irrisolte. Non esiste una conferma indipendente che ShinyHunters abbia rubato /var/log, acquisito il codice sorgente o ottenuto le chiavi dell’onion service. Inoltre, non ci sono ancora prove che il gruppo sia riuscito a ricreare il servizio di Clop altrove.

Per il momento, l’incidente consiste in una compromissione verificata del sito di leak, accompagnata da dichiarazioni più ampie dei due gruppi. Se il presunto furto delle chiavi e dei log venisse confermato, si trasformerebbe in una violazione informativa dell’infrastruttura operativa di Clop, non in un semplice defacement tra gruppi criminali informatici rivali.