Быстрое задержание
Директор ФБР Кеш Патель сначала объявил об аресте подозреваемого сообщника ShinyHunters. Имени и места задержания он не назвал. Издание The New York Times впоследствии сообщило, что речь идет о гражданине Канады, задержанном в Пенсильвании, и что следователи считают его одним из главных соучастников взлома, пишет BleepingComputer.
Впоследствии Politico и KrebsOnSecurity сообщили, что речь идет о 54-летнем Эдварде Дубровском, которого задержали в Пенсильвании, где он находился на киберконференции. ФБР публично не подтвердило, что именно он и является тем сообщником, однако, по данным KrebsOnSecurity, несколько источников связывают его арест с расследованием в отношении ShinyHunters.
Это последний арест, который ФБР произвело за несколько дней в отношении этой сети, ведь мы неустанно работаем над тем, чтобы уничтожить группу, искать новые зацепки и доказательства и действовать быстро,
– прокомментировал директор ФБР Кеш Патель.
Что известно о деле
После задержания Дубровский предстал перед судом восточного округа Пенсильвании. Впоследствии его перевезли в восточный округ Техаса, где ему были предъявлены обвинения. Судебное постановление фиксирует, что он остается под стражей.
Дело засекретили, но в реестре указаны сговор с целью угрожать нарушением конфиденциальности информации ради вымогательства денег, а также вымогательство по закону Гоббса. Что именно вменяется Дубровскому и связано ли дело действительно со взломом ФБР, пока неясно, поскольку официальных подтверждений нет.
Дубровский является соучредителем канадской компании CYPFER и связан с CyberSteward. По данным Politico, это торговое название CYPFER. Такие фирмы помогают жертвам кибервымогательства вести переговоры с хакерами и правильно перечислять им выкуп. Недавно он издал книгу "Cyber Extortion Strategic Response" о том, как действовать в случае кибервымогательства.
Как ShinyHunters взломала ФБР
Группировка рассказала, что проникла в системы ФБР через якобы уязвимость zero-day в Oracle PeopleSoft, то есть дыру, о которой разработчик еще не знал. Оттуда хакеры проникли в инфраструктуру ФБР на AWS GovCloud. Они утверждают, что похитили от 2 до 3 терабайт данных о нынешних и бывших сотрудниках, соискателях, медицинских и психиатрических картах, а также внутренних служебных записях.
Образцы подтвердили утечку домашних адресов, номеров социального страхования, информации о рабочих заданиях и родственниках сотрудников. Согласно внутреннему меморандуму ФБР, который цитирует The New York Times, в ведомстве предположили, что взлом затронул всех сотрудников. Само ФБР объясняет инцидент тем, что платформа стороннего подрядчика не установила обновления безопасности.
Какие аресты были ранее
15 сентября нидерландская полиция задержала в Амстердаме 24-летнего Пепийна ван дер Стапа, известного как "Umbreon". ShinyHunters опровергла его связь с группой. Вскоре ФБР публично призвало участников группировки сдаться.
Аресты меняют круг тех, кто готов говорить, а изъятая инфраструктура показывает нам, кто остался,
– заявил помощник директора киберподразделения ФБР Бретт Летерман.
Затем в Иордании задержали участника, известного как "Rey". По данным Reuters, это Сайф ад-Дин Хадер, который помогает следователям искать других членов группы. Тогда же главный представитель группировки перестал отвечать в Telegram, а его аккаунт, похоже, удалили. Сайт утечек ненадолго исчез, но впоследствии появился новый. Связано ли это с арестами, неизвестно.
Кто такие ShinyHunters
Это группа, которая крадет данные из веб-приложений и облачных SaaS-платформ, а затем требует выкуп под угрозой обнародования. По данным ФБР, эта группировка и связанные с ней хакеры взломали более 140 организаций и за прошлый год получили более 70 миллионов долларов в виде выкупов. Среди целей были Salesforce, Google, Cisco, PornHub, Match Group и образовательная платформа Instructure Canvas. Хакеры также используют голосовой фишинг и выдают себя за IT-поддержку. Несмотря на аресты, под этим названием продолжают работать киберпреступники.