Le groupe d'extorsion ShinyHunters affirme avoir pris le contrôle du site du gang russophone Cl0p, révélant au passage une querelle interne à l'univers cybercriminel. Une ironie qui n'échappe pas aux experts, alors que le site de fuite de Cl0p tournait lui-même sur un CMS non patché et fait planer un risque de double exposition sur les entreprises ayant payé une rançon au groupe.
L'arroseur arrosé par un autre arroseur. Selon des informations de Reuters, les cybercriminels de ShinyHunters se sont introduits dans l’infrastructure d'un autre acteur de la menace, le groupe russophone Cl0p, un autre gang de cybercriminels. Pour ce faire, le premier a exploité une faille dans les logiciels du second, afin de prendre le contrôle de son infrastructure.
CMS non patché
« Nous les possédons littéralement maintenant », a déclaré ShinyHunters lors d'un échange avec Reuters. Contacté par l'agence de presse, Cl0p n'a pas répondu. Reuters a tenté de se connecter à la plateforme du groupe, sans succès. Le site affichait le message : « Domaine saisi par ShinyHunters ».
Contacté par Reuters toujours, Brandon Parsons, responsable du renseignement sur les menaces chez Ascent Solutions, évoque des « règlements de comptes », qui sont une réalité sur le dark web. Mais jamais un groupe n'avait si ouvertement revendiqué une attaque contre l'un de ses confrères.
Il semblerait que tout soit parti d'une dispute autour d'une zero day dans la suite E-Business Suite d'Oracle, exploitée par Cl0p afin de dérober les données d'une centaine d'entreprises. ShinyHunters a affirmé avoir été le premier à découvrir cette faille. Une bataille d'ego qui aurait mené Cl0p à menacer son rival de divulguer l'identité de plusieurs de ses membres. C'est du moins ce que prétend ShinyHunters, qui aurait quant à lui menacé de dévoiler des détails sur le fonctionnement interne de Cl0p.
Un risque de double exposition pour les victimes
Il semblerait que le site de fuite de Cl0p était géré sur un CMS non patché. « Les mêmes personnes qui promettaient de supprimer vos données n'ont pas su protéger leur propre serveur », a déclaré Julien Mousqueton, RSSI Europe chez Cohesity et fondateur de ransomware.live.
Au-delà de l'ironie de la situation, l'expert met en garde les victimes de Cl0p qui auraient payé le groupe pour effacer leurs données. Si ShinyHunters détient réellement les données backend de Cl0p, les victimes passées font face à un second événement d'exposition. La menace de publier les noms des payeurs, les montants et les adresses Bitcoin transformerait un paiement discret en question de divulgation publique, avec des implications réglementaires et juridiques, parfois des années après la violation initiale. « Les conseils d'administration qui ont approuvé un paiement pour faire disparaître le problème devraient revisiter cette hypothèse avec leurs conseils juridiques dès maintenant », met en garde Julien Mousqueton.
23/09/2026
