ShinyHunters утверждает, что взломало систему ФБР и украло данные в результате уязвимости нулевого дня в PeopleSoft.

[admin]

Группа вымогателей ShinyHunters утверждает, что взломала системы ФБР, используя новую уязвимость нулевого дня в Oracle PeopleSoft, получив доступ к внутренним сервисам и украв конфиденциальные данные сотрудников и соискателей.


Злоумышленники сообщили BleepingComputer, что уязвимость позволяет удаленно выполнять код, и что они использовали ее в понедельник вечером для доступа к системам ФБР, после чего перешли на управляемую ФБР инфраструктуру AWS GovCloud.

Компания ShinyHunters утверждает, что украла у агентства от 2 до 3 ТБ данных, включая информацию о нынешних и бывших сотрудниках ФБР, соискателях работы и другие внутренние документы.


Группа также утверждает, что в ходе взлома она скомпрометировала работу служб уголовного правосудия ФБР, отдела кадров, Medlink и других служб.


Компания ShinyHunters также утверждает, что теперь использует ту же самую предполагаемую уязвимость нулевого дня против других организаций, включая компании из списка Fortune 500.


BleepingComputer не проводил независимой проверки предполагаемой уязвимости нулевого дня, горизонтального перемещения или объема украденных данных.


ФБР подтвердило изданию BleepingComputer, что проводит расследование по этим заявлениям, но не подтвердило, были ли взломаны его системы или украдены данные.


«ФБР осведомлено о заявлениях, касающихся несанкционированной деятельности, затрагивающей сайт FBIjobs.gov, и в настоящее время проводит расследование», — сообщило ФБР изданию BleepingComputer.


Однако ShinyHunters поделились с BleepingComputer скриншотом, на котором видно, что веб-сайт вакансий ФБР по адресу apply.fbijobs.gov был взломан: на нем был изображен логотип покемона Умбреон, а также сообщение о том, что информация о сотрудниках и кандидатах ФБР была скомпрометирована.


В сообщении говорилось: «Этот сайт захвачен Shinyhunters. Они получают root-права на ваших системах с 2019 года ».


Предположительно, был взломан сайт вакансий ФБР.
Источник: ShinyHunters

В сообщении также утверждалось, что была украдена конфиденциальная личная информация и данные о состоянии здоровья сотрудников и кандидатов в ФБР.


«Все данные ФБР были скомпрометированы, включая конфиденциальную личную информацию и персональные данные действующих и бывших сотрудников ФБР, а также всю информацию о кандидатах», — гласило сообщение на взломанном сайте.


«У нас гораздо больше, чем мы заявляем здесь. Благодарим вас за внимание к этому вопросу».


Издание ShinyHunters сообщило BleepingComputer, что ФБР быстро узнало о взломе, немедленно отключило затронутые системы, и теперь на сайте вакансий ФБР отображается сообщение о техническом обслуживании.


Группа также заявила, что доступ к нескольким сетям ФБР был одновременно прекращен после того, как агентство обнаружило вторжение.


«Они буквально всё отключили», — заявили в ShinyHunters.


Злоумышленники предоставили изданию BleepingComputer два образца записей, которые, по утверждению группы, были украдены во время атаки, включая данные, предположительно связанные с сотрудниками ФБР.


В одной из записей якобы содержалась информация, связанная со специальным агентом ФБР, участвовавшим в предыдущем расследовании BreachForums, а в другой — информация, связанная с директором ФБР Кашем Пателем.


BleepingComputer не публикует личную информацию, содержащуюся в этих записях, и не проводил независимой проверки их подлинности или источника.


Издание 404 Media первым сообщило о предполагаемом нарушении безопасности после получения образца, содержащего приблизительно 5000 записей, предположительно принадлежащих сотрудникам ФБР.


В публикации говорится, что была проверена точность некоторой информации в выборке, включая номера телефонов, соответствующие людям с теми же именами и номерами, которые связаны с сотрудниками Министерства юстиции США.

Предполагаемая уязвимость нулевого дня в PeopleSoft​

Компания ShinyHunters утверждает, что получила первоначальный доступ через новую уязвимость нулевого дня в Oracle PeopleSoft, которая до сих пор не устранена.


«Продукт Oracle, в котором мы обнаружили уязвимость нулевого дня, — это PeopleSoft. Вчера мы нашли еще одну и немедленно использовали ее против ФБР», — сообщили ShinyHunters изданию BleepingComputer.


Группа также утверждает, что пыталась удалить следы своей активности со взломанных серверов, чтобы затруднить идентификацию уязвимости нулевого дня.


Компания ShinyHunters также сообщила BleepingComputer, что теперь использует ту же самую предполагаемую уязвимость PeopleSoft для атак на корпорации и компании из списка Fortune 500 после того, как ранее атаковала сектор образования .


Компания ShinyHunters утверждает, что украденные данные ФБР были получены из систем, доступ к которым был получен после первоначального взлома PeopleSoft.


Предполагается, что эти системы включают в себя среду AWS GovCloud ФБР, которая использовалась для хранения информации о сотрудниках и кандидатах на вакансии.


Издание BleepingComputer связалось с Oracle и группой аналитиков угроз Mandiant в Google Cloud, чтобы выяснить, известно ли им о новой уязвимости в PeopleSoft или о связанной с ней деятельности по её эксплуатации.

Ответные меры в связи с докладом ФБР​

Позже компания ShinyHunters опубликовала на своем сайте, посвященном утечкам данных, пространное заявление, в котором утверждалось, что атака была местью за срочный отчет ФБР, подробно описывающий деятельность ShinyHunters , опубликованный в мае 2026 года.


Заявление ShinyHunters по поводу нападения ФБР
Источник: BleepingComputer

Группа оспаривает утверждения о том, что участники ShinyHunters могут преувеличивать доступ к конфиденциальной информации, преследовать жертв и их родственников, совершать ложные вызовы спецназа и незаконно заявлять о наличии компрометирующих материалов.


Злоумышленники опровергли эти обвинения, а также отвергли утверждения о своей принадлежности к "The Com" — разрозненному сообществу киберпреступников, часто связанному с утечками данных, кражами криптовалюты и часто упоминаемому правоохранительными органами и исследователями в области безопасности.


В своем заявлении ShinyHunters дали ФБР одну неделю на исправление или удаление отчета FLASH, утверждая при этом, что требование не было мотивировано финансовой выгодой и не являлось вымогательством.


На вопрос о том, опубликует ли группа предположительно украденные данные ФБР, если агентство не внесет изменения в отчет, ShinyHunters отказались отвечать.


«Без комментариев», — заявил злоумышленник изданию BleepingComputer.


Когда BleepingComputer спросил главного представителя банды вымогателей ShinyHunters, не беспокоит ли его, что это приведет к усилению давления со стороны правительства США с целью их ареста, тот ответил: «Мне все равно».


Предполагаемая уязвимость нулевого дня в PeopleSoft — не первый случай, когда ShinyHunters связывают с эксплуатацией ранее неизвестной уязвимости Oracle.


В ходе кампании Clop по краже данных из Oracle E-Business Suite в 2025 году, ShinyHunters входили в группу, называвшую себя "Scattered Lapsus$ Hunters", которая опубликовала экспериментальный эксплойт, позже подтвержденный Oracle как соответствующий тому, который использовался в атаках.


Позже ShinyHunters сообщили BleepingComputer, что эксплойт изначально принадлежал им, а группа, занимающаяся распространением программ-вымогателей Clop, получила его без разрешения.


Этот спор возобновился на прошлой неделе, когда ShinyHunters взломали и испортили сайт Clop, занимающийся утечкой данных , заявив, что украли серверные данные и закрытые ключи для его сервиса Tor.


Впоследствии группа добавила Clop на свой собственный сайт утечек и пригрозила вымогательством, заявив, что атака была местью за угрозы, якобы прозвучавшие во время кампании по распространению Oracle E-Business Suite.

Источник