De hackergroep ShinyHunters claimt de FBI te hebben gehackt via een zero-day kwetsbaarheid in Oracle PeopleSoft op de vacaturepagina van de organisatie. De groep stelt dat zij via remote code execution (RCE) toegang kregen tot de servers en zich vervolgens zijwaarts hebben bewogen naar AWS GovCloud. Hier zouden zij tussen de 2 en 3 TB aan gegevens hebben gestolen van huidige, voormalige en potentiële FBI-medewerkers, specifiek uit de diensten Human Resources, MedLink en Criminal Justice Information Services.
Opvallend is dat de actie niet financieel gemotiveerd is. ShinyHunters eist dat de FBI verklaringen uit een bulletin van 15 mei intrekt, waarin de groep wordt beschuldigd van intimidatiestrategieën, dreigende berichten en 'swatting'. De hackers beweren dat deze beschuldigingen onjuist zijn en dat deze aanval de enige manier is om de feiten recht te zetten.
ShinyHunters claimt FBI-hack: 'Dit is NIET financieel gemotiveerd'
ShinyHunters claimt de FBI te hebben gehackt en meer dan 2 TB aan werknemersgegevens te hebben gestolen. De groep wil dat de federale autoriteiten de feiten corrigeren over de manier waarop de groep opereert.
“Dit is NIET financieel gemotiveerd,” vertelde een woordvoerder van ShinyHunters aan The Register. “We willen dat de FBI hun verklaringen corrigeert of intrekt, waaronder aanzienlijke valse beschuldigingen.”
De FBI reageerde niet onmiddellijk op het verzoek om commentaar van The Register.
De aanval en gebruikte kwetsbaarheden
Volgens een woordvoerder van ShinyHunters maakte de afpersingsgroep gebruik van een Oracle PeopleSoft zero-day kwetsbaarheid op de vacaturepagina van de FBI. Volgens de groep maakte dit remote code execution (RCE) op de servers mogelijk. De groep defaced vervolgens de website en verving deze door een banner en afbeelding met de tekst: “This site has been seized by ShinyHunters”.
Op het moment van publicatie geeft de website aan dat deze "momenteel in onderhoud is, maar binnenkort weer online komt!".
Gestolen data en laterale bewegingen
ShinyHunters claimt daarnaast dat ze zich vanaf de gecompromitteerde site zijwaarts (laterally) hebben bewogen naar de beheerde servers van de FBI op AWS GovCloud. Daar zouden ze ongeveer 2 TB tot 3 TB aan gegevens hebben gedownload die toebehoren aan huidige, voormalige en potentiële FBI-medewerkers.
“We beschikken over gegevens van alle FBI-medewerkers en sollicitanten,” aldus de woordvoerder.
De gecompromitteerde FBI-diensten omvatten volgens ShinyHunters:
- Human Resources;
- MedLink;
- Criminal Justice Information Services.
Zowel Oracle als AWS reageerden niet onmiddellijk op vragen over het incident, waaronder de vraag of Oracle op de hoogte is van een PeopleSoft preauth RCE zero-day, en of AWS inzicht heeft in de vermeende datadiefstal.
Motivatie: Correctie van het dossier
In tegenstelling tot de meeste operaties van de groep — die vaak bestaan uit een 'smash-and-grab' waarbij een miljoenenlosgeld wordt geëist om lekken van gestolen bestanden te voorkomen — geeft ShinyHunters aan geen betaling te eisen van de FBI.
In plaats daarvan eist de groep dat de federale politie verklaringen intrekt die zijn gedaan in een bulletin van 15 mei. Dit bulletin verscheen kort nadat de bende was ingebroken op het Canvas-platform van educatieve technologiegigant Instructure, waarbij ze claimden gegevens van honderden miljoenen studenten, docenten en medewerkers te hebben gestolen.
In dat bulletin stelde de FBI dat ShinyHunters gebruikmaakt van:
- Intimidatiestrategieën;
- Het versturen van dreigende sms-berichten en telefoontjes naar slachtoffers en hun familieleden;
- In sommige gevallen 'swatting'.
De beveiligingswaarschuwing vermeldde ook dat afpersers “vals kunnen claimen over het bezit van gevoelige of compromitterende informatie, waaronder gênante foto's of video's van slachtoffers, die vaak niet bestaan.”
ShinyHunters claimt dat niets hiervan waar is. “Ik heb mijn best gedaan om deze beschuldigingen te bestrijden,” vertelden ze. “En dit is de beste manier om dat te doen.”
ShinyHunters claimt FBI-hack: 'Dit is NIET financieel gemotiveerd'
ShinyHunters claimt de FBI te hebben gehackt en meer dan 2 TB aan werknemersgegevens te hebben gestolen. De groep wil dat de federale autoriteiten de feiten corrigeren over de manier waarop de groep opereert.
“Dit is NIET financieel gemotiveerd,” vertelde een woordvoerder van ShinyHunters aan The Register. “We willen dat de FBI hun verklaringen corrigeert of intrekt, waaronder aanzienlijke valse beschuldigingen.”
De FBI reageerde niet onmiddellijk op het verzoek om commentaar van The Register.
De aanval en gebruikte kwetsbaarheden
Volgens een woordvoerder van ShinyHunters maakte de afpersingsgroep gebruik van een Oracle PeopleSoft zero-day kwetsbaarheid op de vacaturepagina van de FBI. Volgens de groep maakte dit remote code execution (RCE) op de servers mogelijk. De groep defaced vervolgens de website en verving deze door een banner en afbeelding met de tekst: “This site has been seized by ShinyHunters”.
Op het moment van publicatie geeft de website aan dat deze "momenteel in onderhoud is, maar binnenkort weer online komt!".
Gestolen data en laterale bewegingen
ShinyHunters claimt daarnaast dat ze zich vanaf de gecompromitteerde site zijwaarts (laterally) hebben bewogen naar de beheerde servers van de FBI op AWS GovCloud. Daar zouden ze ongeveer 2 TB tot 3 TB aan gegevens hebben gedownload die toebehoren aan huidige, voormalige en potentiële FBI-medewerkers.
“We beschikken over gegevens van alle FBI-medewerkers en sollicitanten,” aldus de woordvoerder.
De gecompromitteerde FBI-diensten omvatten volgens ShinyHunters:
- Human Resources;
- MedLink;
- Criminal Justice Information Services.
Zowel Oracle als AWS reageerden niet onmiddellijk op vragen over het incident, waaronder de vraag of Oracle op de hoogte is van een PeopleSoft preauth RCE zero-day, en of AWS inzicht heeft in de vermeende datadiefstal.
Motivatie: Correctie van het dossier
In tegenstelling tot de meeste operaties van de groep — die vaak bestaan uit een 'smash-and-grab' waarbij een miljoenenlosgeld wordt geëist om lekken van gestolen bestanden te voorkomen — geeft ShinyHunters aan geen betaling te eisen van de FBI.
In plaats daarvan eist de groep dat de federale politie verklaringen intrekt die zijn gedaan in een bulletin van 15 mei. Dit bulletin verscheen kort nadat de bende was ingebroken op het Canvas-platform van educatieve technologiegigant Instructure, waarbij ze claimden gegevens van honderden miljoenen studenten, docenten en medewerkers te hebben gestolen.
In dat bulletin stelde de FBI dat ShinyHunters gebruikmaakt van:
- Intimidatiestrategieën;
- Het versturen van dreigende sms-berichten en telefoontjes naar slachtoffers en hun familieleden;
- In sommige gevallen 'swatting'.
De beveiligingswaarschuwing vermeldde ook dat afpersers “vals kunnen claimen over het bezit van gevoelige of compromitterende informatie, waaronder gênante foto's of video's van slachtoffers, die vaak niet bestaan.”
ShinyHunters claimt dat niets hiervan waar is. “Ik heb mijn best gedaan om deze beschuldigingen te bestrijden,” vertelden ze. “En dit is de beste manier om dat te doen.”
Groetjes,