За гучним зламом ФБР і викраденням даних агентів стояв канадець

Швидке затримання

Директор ФБР Кеш Патель спочатку оголосив про арешт підозрюваного співучасника ShinyHunters. Імені та місця затримання він не назвав. Видання The New York Times згодом написало, що це громадянин Канади, якого взяли в Пенсильванії, і що слідчі вважають його одним із головних співучасників зламу, пише BleepingComputer.

Згодом Politico та KrebsOnSecurity повідомили, що йдеться про 54-річного Едварда Дубровського, якого затримали в Пенсильванії, де він був на кіберконференції. ФБР публічно не підтвердило, що саме він і є тим співучасником, проте за даними KrebsOnSecurity, кілька джерел пов'язують його арешт із розслідуванням щодо ShinyHunters.

Це найновіший арешт, який ФБР здійснило за кілька днів стосовно цієї мережі, адже ми невпинно працюємо над тим, щоб знищити групу, шукати нові зачіпки й докази та діяти швидко,
– прокоментував директор ФБР Кеш Патель.

Що відомо про справу

Після затримання Дубровський постав перед судом східного округу Пенсильванії. Згодом його перевезли до східного округу Техасу, де висунули звинувачення. Судова постанова фіксує, що він залишається під вартою.

Справу засекретили, але в реєстрі вказано змову з метою погрожувати порушенням конфіденційності інформації заради вимагання грошей, а також вимагання за законом Гоббса. Що саме закидають Дубровському і чи пов'язана справа дійсно зі зламом ФБР, поки незрозуміло, оскільки офіційних підтверджень немає.

Дубровський співзаснував канадську компанію CYPFER і пов'язаний із CyberSteward. За даними Politico, це торгова назва CYPFER. Такі фірми допомагають жертвам кібервимагання вести переговори з хакерами та правильно переказувати їм викуп. Нещодавно він видав книжку "Cyber Extortion Strategic Response" про те, як діяти під час кібервимагання.

Як ShinyHunters зламала ФБР

Угруповання розповіло, що проникло в системи ФБР через нібито zero-day уразливість в Oracle PeopleSoft, тобто діру, про яку розробник ще не знав. Звідти хакери перейшли в інфраструктуру ФБР на AWS GovCloud. Вони стверджують, що викрали від 2 до 3 терабайтів даних про нинішніх і колишніх працівників, кандидатів на роботу, медичні та психіатричні картки й внутрішні службові записи.

Зразки підтвердили витік домашніх адрес, номерів соціального страхування, інформації про робочі завдання та родичів співробітників. Згідно з внутрішнім меморандумом ФБР, який цитує The New York Times, у відомстві припустили, що злам зачепив усіх працівників. Саме ФБР пояснює інцидент тим, що платформа стороннього підрядника не встановила оновлення безпеки.

Які арешти були раніше

15 вересня нідерландська поліція затримала в Амстердамі 24-річного Пепійна ван дер Стапа, відомого як "Umbreon". ShinyHunters заперечила його зв'язок із групою. Невдовзі ФБР публічно закликала учасників угруповання здатися.

Арешти змінюють те, хто готовий говорити, а вилучена інфраструктура показує нам, хто залишився,
– заявив помічник директора кібернетичного відділу ФБР Бретт Летерман.

Потім у Йорданії затримали учасника, відомого як "Rey". За даними Reuters, це Сайф ад-Дін Хадер, який допомагає слідчим шукати інших членів групи. Тоді ж головний представник угруповання перестав відповідати в Telegram, а його акаунт, схоже, видалили. Сайт витоків ненадовго зник, але згодом з'явився новий. Чи пов'язане це з арештами, невідомо.

Хто така ShinyHunters

Це група, яка краде дані з вебзастосунків і хмарних SaaS-платформ, а потім вимагає викуп під загрозою оприлюднення. За даними ФБР, угруповання та афілійовані хакери зламали понад 140 організацій і за минулий рік отримали понад 70 мільйонів доларів від викупів. Серед цілей були Salesforce, Google, Cisco, PornHub, Match Group та навчальна платформа Instructure Canvas. Хакери також використовують голосовий фішинг і видають себе за ІТ-підтримку. Попри арешти, під цією назвою й надалі працюють кіберзлочинці.