ShinyHunters defaccia il leak site di Clop: la faida del cybercrime

ShinyHunters ha compromesso il sito Tor di leak del ransomware Clop nella serata del 18 settembre 2026, caricando un file di testo e sostituendo la homepage con un defacement. L'attacco, rivendicato come ritorsione per presunte minacce di un rappresentante di Clop, espone una frattura rara nel sottobosco del cybercrime: un gruppo di estorsione che attacca l'infrastruttura di un operatore ransomware rivale. BleepingComputer ha verificato indipendentemente il defacement e il file upload, ma non ha potuto confermare i claims di ShinyHunters su furto di dati e controllo delle chiavi onion.

Come è entrato ShinyHunters: file upload e defacement verificati

L'attacco è iniziato venerdì 18 settembre 2026 con il caricamento di un file di testo sul server che ospita il sito di leak Tor di Clop. BleepingComputer ha scaricato e verificato il file, confermando che conteneva un messaggio di rivendicazione e un link al sito di ShinyHunters.

Successivamente, la homepage del sito Tor è stata sostituita con ASCII art di Umbreon, la stessa figura usata nel defacement di HackForums nell'agosto 2020 secondo il ricercatore VXDB. Il defacement include il messaggio "rooting your systems since '19 ;)".

ShinyHunters ha dichiarato a BleepingComputer di aver ottenuto "full access" al server, ma non ha fornito prove tecniche verificabili di questa affermazione. La verifica indipendente si è fermata al file upload e alla modifica della pagina web.

La faida Oracle EBS e CVE-2025-61882: origine del conflitto

La motivazione dichiarata da ShinyHunters risale alla campagna di Clop del 2025 contro sistemi Oracle E-Business Suite, che sfruttava CVE-2025-61882. Secondo il gruppo, Clop avrebbe ottenuto senza autorizzazione un exploit che originariamente apparteneva a loro.

La disputa è esplosa quando un rappresentante di Clop avrebbe minacciato verbalmente membri di ShinyHunters con frasi tradotte dal russo come "I have more money than you and all of your people combined, I'll kill you soon".

CVE-2025-61882 è catalogata da CISA nella lista Known Exploited Vulnerabilities con flag "Known To Be Used in Ransomware Campaigns". Il dossier non stabilisce un nesso tecnico diretto tra questa CVE e l'attacco al sito di leak di Clop. La faida rimane nel dominio delle rivendicazioni reciproche non verificabili.

Cosa ShinyHunters afferma di aver rubato: i limiti della verifica

Il gruppo ha dichiarato di aver sottratto source code, plugin di Grav CMS, log di sistema da /var/log e le chiavi private del servizio onion Tor di Clop. Nella dichiarazione riportata da BleepingComputer, afferma: "We have their onion keys. So if they kick us out it wouldn't matter at all because we control the private keys to host the same exact onion URL".

BleepingComputer ha esplicitato di non aver verificato indipendentemente nessuno di questi claims. La distinzione è rilevante: il controllo delle chiavi onion, se reale, consentirebbe a ShinyHunters di mantenere il dominio sull'indirizzo Tor indipendentemente dal server compromesso, ma il dossier non contiene evidenza tecnica di questa acquisizione.

"BleepingComputer has independently confirmed the defacement and earlier uploaded file but has not independently verified ShinyHunters' claims that it stole server logs, source code, or Clop's onion private keys"

Perché l'attacco ai leak site cambia i termini del threat intelligence

La compromissione di un sito di leak ransomware introduce un problema di autenticità che finora ha riguardato principalmente le vittime legittime. Quando ShinyHunters controlla o pretende di controllare l'infrastruttura di Clop, ogni dato pubblicato su quel sito Tor diviene potenzialmente inaffidabile: i file potrebbero essere manipolati, i claims di esfiltrazione gonfiati, le prove di compromissione inserite retroattivamente.

Per le aziende che monitorano i leak site per valutare l'esposizione dei propri dati, questo significa che la fonte è diventata essa stessa un vettore di disinformazione. Il dossier non specifica se e come le imprese debbano adattare i propri processi di threat intelligence a questo scenario.

Cosa cambia

L'operazione rivela che i gruppi ransomware dipendono da infrastrutture web convenzionali — server, CMS, configurazioni di rete — oltre al layer Tor. Il leak site non è un'entità eterea nel dark web: è un'applicazione web ospitata su hardware fisico, con directory scrivibili e log di sistema.

Il dossier non specifica la ragione della scelta tecnologica di Grav CMS da parte di Clop. ShinyHunters ha dato al gruppo 72 ore per rispondere prima di eventuali pubblicazioni, ma il brief non riporta calendari o date di scadenza assolute.

L'incertezza sui contenuti futuri del sito compromesso resta il limite informativo principale: finché i claims di ShinyHunters non saranno verificati indipendentemente, ogni dato pubblicato sul leak site di Clop richiede doppia validazione.

Domande e risposte

Perché Clop userebbe Grav CMS?

Il dossier non specifica la ragione della scelta tecnologica.

I dati rubati sono reali?

BleepingComputer non ha verificato indipendentemente i claims su source code, log di sistema o chiavi onion. Solo il defacement e il file upload sono confermati.

Cosa rischia Clop?

ShinyHunters minaccia di estorcere il gruppo, ma il brief non riporta evidenza che l'operazione ransomware di Clop sia stata interrotta o che i dati delle vittime siano già stati pubblicati.

Chi ha ragione nella faida?

Il brief non contiene elementi per verificare le reciproche accuse sui possesso dell'exploit Oracle o sulle minacce del rappresentante Clop.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.bleepingcomputer.com/news/security/shinyhunters-hacks-clop-leak-site-threatens-to-extort-ransomware-gang/
• https://daily.dev/posts/shinyhunters-hacks-clop-leak-site-threatens-to-extort-ransomware-gang-fhumymgmk
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2025-61882&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=
• https://www.resecurity.com/blog/article/trinity-of-chaos-the-lapsus-shinyhunters-and-scattered-spider-alliance-embarks-on-global-cybercrime-spree
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/
• https://deals.bleepingcomputer.com/