Порталы входа в Canvas взломаны в ходе массовой кампании вымогательства со стороны ShinyHunters.

[zender]

Группа вымогателей ShinyHunters снова взломала образовательного технологического гиганта Instructure, на этот раз используя уязвимость для взлома порталов входа в Canvas для сотен колледжей и университетов.


На скриншотах, которые были видны примерно 30 минут, после чего исчезли, отображалось сообщение от ShinyHunters, в котором они брали на себя ответственность за предыдущую утечку данных в Instructure и угрожали опубликовать украденные данные, если не будет выплачен выкуп.


В сообщении содержится предупреждение о том, что у Instructure и школ есть время до 12 мая, чтобы связаться с ними и договориться о выкупе, иначе данные учащихся будут утечены.


«ShinyHunters снова взломали Instructure. Вместо того чтобы связаться с нами для решения проблемы, они проигнорировали нас и установили какие-то „патчи безопасности“», — говорится в сообщении о взломе.


«Если какая-либо из школ, включенных в список, заинтересована в предотвращении утечки своих данных, пожалуйста, проконсультируйтесь с фирмой, специализирующейся на кибербезопасности, и свяжитесь с нами в частном порядке в TOX для обсуждения урегулирования. У вас есть время до конца дня 12 мая 2026 года, прежде чем все данные будут обнародованы», — говорится в сообщении.

Страница входа в систему Canvas Техасского университета в Сан-Антонио была взломана.

Как стало известно BleepingComputer, злоумышленники взломали страницы входа в систему Canvas примерно в 330 учебных заведениях, заменив стандартные страницы авторизации сообщением с угрозами вымогательства. Это же сообщение появилось и в приложении Canvas.

Предполагается, что взлом был вызван уязвимостью в системах Instructure, которая позволила злоумышленнику изменить порталы авторизации. Компания Instructure временно отключила Canvas на время реагирования на последнюю кибератаку.




На прошлой неделе компания Instructure сообщила о начале расследования кибератаки после того, как злоумышленники заявили о краже 280 миллионов записей о студентах и сотрудниках, связанных с 8809 школами , университетами и образовательными платформами, использующими ее систему управления обучением Canvas.


Позже участники группировки ShinyHunters сообщили BleepingComputer, что украденные данные включали записи пользователей, личные сообщения, данные о зачислении и другую информацию, предположительно собранную с помощью функций экспорта данных и API Canvas.


Компания Instructure подтвердила, что в ходе атаки были украдены данные , но расследование инцидента продолжается.


BleepingComputer неоднократно обращался в Instructure с вопросами об атаке, в том числе и о сегодняшней, а также о том, планируют ли они уведомить студентов и сотрудников об утечке данных. Однако на наши электронные письма до сих пор не было ответа.


Canvas — одна из наиболее широко используемых систем управления обучением в высшем образовании и школах, помогающая учебным заведениям управлять учебными курсами, заданиями, выставлением оценок и коммуникацией между студентами и преподавателями.

Кто такие ShinyHunters?​

Название ShinyHunters уже давно ассоциируется с многочисленными киберпреступниками , которые совершали утечки данных с 2018 года.


В этом году группы злоумышленников, использующие название ShinyHunters, стали одними из самых активных в совершении атак с целью кражи данных и вымогательства у компаний по всему миру.

в основном сосредоточенные на Salesforce Злоумышленники, и других облачных SaaS-средах, причастны к растущему числу утечек данных, затронувших такие компании, как Google , Cisco , PornHub и гигант онлайн-знакомств Match Group .


Преступная группировка, занимающаяся вымогательством, часто взламывает системы сторонних компаний, занимающихся интеграцией , и использует украденные токены аутентификации для доступа к подключенным средам SaaS и кражи данных клиентов.


Злоумышленники также известны проведением фишинговых атак с использованием голосового ввода (вишинг), направленных на учетные записи единого входа (SSO) Okta, Microsoft и Google , выдавая себя за сотрудников ИТ-поддержки, чтобы обманом заставить работников вводить учетные данные и коды многофакторной аутентификации (MFA) на фишинговых сайтах.


Как впервые сообщило издание BleepingComputer , группа ShinyHunters также недавно прибегла к атакам с использованием вредоносного кода устройств для получения токенов аутентификации Microsoft Entra.


После кражи учетных данных и кодов аутентификации злоумышленники взламывают учетные записи SSO, чтобы проникнуть в подключенные корпоративные сервисы, такие как Salesforce, Microsoft 365, Google Workspace, SAP, Slack, Adobe, Atlassian, Zendesk и Dropbox.


Хотя члены банды ShinyHunters несут ответственность за многочисленные нападения, они также известны тем, что действуют как группа, предоставляющая услуги вымогательства, осуществляя вымогательство от имени других злоумышленников в обмен на долю в выплате выкупа.


было связано множество арестов С именем ShinyHunters , в том числе подозреваемых, причастных к атакам по краже данных Snowflake , взломам PowerSchool и работе хакерского форума Breached v2 .


Однако, несмотря на эти аресты, компании продолжают получать электронные письма с угрозами вымогательства, подписанные фразой: «Мы — ShinyHunters».