Українські активісти проникли в групу зловмисників-вимагачів Trigona

Згідно з публікацією bleepingcomputer.com, коаліція кіберактивістів, що діє під егідою Українського кіберальянсу (Ukrainian Cyber Alliance, UCA), успішно зламала сервери групи вимагачів Trigona, знищивши дані та діставши з них усе, що було доступно. Це передбачало вилучення вихідного коду, записів баз даних і, можливо, ключів розшифрування.

Активісти UCA скористалися критичною вразливістю, відомою як CVE-2023-22515, у Центрі обробки даних і сервері компанії Confluence, яка може віддалено використовуватися для ескалації привілеїв.

Ця вразливість використовується як вразливість нульового дня з 14 вересня групою зловмисників, яка відстежується корпорацією Microsoft під назвою Storm-0062 (також DarkShadow і Oro0lxy).

За близько шість днів до цього Український кіберальянс уперше зламав сервер Confluence групи вимагачів Trigona, встановив приховану присутність і непомітно склав детальну карту їхньої інфраструктури.

Після того як один з активістів UCA опублікував скриншоти внутрішніх допоміжних документів Trigona, зловмисники змінили свій пароль і призупинили роботу публічної інфраструктури.

Однак протягом наступного тижня активісти успішно викрали значний обсяг даних з адміністративної панелі кіберзлочинців і панелей жертв, блогу, сайту витоку даних і внутрішніх інструментів, як-от серверів Rocket.Chat, Jira та Confluence.

Зокрема, вони отримали доступ до середовища розробників, криптовалютних гаманців, а також до вихідного коду і записів у базі даних. Активісти не впевнені, чи містять ці сховища даних ключі розшифрування, але пообіцяли оприлюднити їх, якщо знайдуть.

Після повного вилучення даних активісти UCA видалили та пошкодили сайти вимагачів. Вони також поділилися ключем до адміністративної панелі сайту. Учасники UCA повідомили, що їм вдалося відновити три резервні копії, які містять сотні гігабайт імовірно викрадених документів.