网络勒索与数据窃取领域两大活跃的网络犯罪团伙之间的矛盾，近日以公开方式爆发。数据窃取团伙ShinyHunters宣称，已入侵并控制了对手勒索软件团伙Cl0p的暗网泄密站点，并在网站上留下挑衅信息、提出金钱要求，还威胁公开曾向Cl0p支付赎金的企业相关信息。部分细节尚未得到独立核实，但多名安全研究者认为这场对峙看起来真实存在。
Cl0p的暗网网站被劫持经过 ShinyHunters是以数据窃取与勒索为主的网络犯罪团伙，近年来身份边界日益模糊，研究者观察到其与Scattered Spider Lapsus$等团伙存在关联与协作。Cl0p则以大规模数据勒索行动闻名，尤其擅长利用零日漏洞；2023年曾利用Progress Software的MOVEit文件传输软件零日漏洞发起大规模行动，同年还针对Fortra GoAnywhere漏洞开展类似活动。
根据ShinyHunters的说法，攻击始于周五晚间：其利用Cl0p暗网泄密网站所使用的Grav CMS中一个无需身份验证的文件上传漏洞得手。周末期间，Cl0p的暗网数据泄露站点被涂改，页面显示“DOMAIN SEIZED BY SHINYHUNTERS”（域名已被ShinyHunters接管）。
网络安全研究平台eCrime.ch保存的截图显示，周六该站点确有上述接管信息。路透社周日尝试访问时，站点已不可用。
ShinyHunters在与路透社的在线对话中称：“我们基本上已经控制了他们。”两位网络安全专家向路透社表示，这场对峙看起来是真实的，尽管ShinyHunters所提供的具体细节无法立即独立核实。明尼苏达州Ascent Solutions威胁情报经理Brandon Parsons说：“暗网上的街头冲突是真实存在的。”SpyCloud安全研究高级总监Joe Roosen则表示，很少看到对手网络犯罪团伙如此公开地对峙：“这确实是个意外转折。很少有机会看到这些犯罪分子互相争斗。”
ShinyHunters窃取的内容与勒索信息 ShinyHunters宣称已获得Cl0p暗网泄密站点所在服务器的完全访问权限，并窃取了源代码、Grav CMS插件、系统日志、Onion服务私钥及其他数据。这些数据窃取说法尚未得到独立验证。
攻击者继续在Cl0p站点上留下嘲讽信息，并试图向Cl0p勒索。9月19日，署名ShinyHunters的信息要求一笔未具体说明的八位数比特币赎金，并指示Cl0p联系某个Onionmail地址。
9月20日，攻击者又在页面上写道，要求获得Cl0p在“EBS行动”中赚取的全部款项，外加利息，否则将开始公布哪些公司曾向Cl0p付款、付了多少、以及比特币地址等信息。这里的“EBS”很可能指Cl0p去年针对受Oracle E-Business Suite（EBS）关键零日漏洞CVE-2025-61882影响客户的勒索行动。
目前尚无迹象表明Cl0p已支付，涂改信息中有一条注明日期的新留言称：每过24小时若仍不回应，要求就会提高，现在还包括必须公开向其道歉。随后，Cl0p泄露站点已移除涂改信息，改为显示一段纯文本，可能来自Cl0p自身，称ShinyHunters的邮箱地址无法使用。
ShinyHunters与Cl0p的恩怨起源：Oracle零日漏洞 ShinyHunters称，与Cl0p的冲突可追溯到去年对Oracle E-Business Suite中一个此前未知漏洞的利用。此类零日漏洞对攻击者极具价值，因为防御方事先没有补丁机会。
据路透社援引谷歌分析师的评估，说俄语的Cl0p利用该漏洞从100多家公司窃取了数据。ShinyHunters则对路透社表示，是自己先发现了该漏洞。据其说法，随后矛盾升级：Cl0p威胁曝光数名ShinyHunters成员身份，ShinyHunters则威胁披露Cl0p内部运作信息。路透社表示无法立即核实这一说法的准确性。
两个网络犯罪团伙的背景 Cl0p以利用广泛使用的企业软件漏洞著称。2023年利用MOVEit漏洞的行动影响了600多家机构、数千万人的数据。近期，Cl0p还宣称从包括飞利浦、壳牌、Fiserv、通用电气等在内的数十家公司窃取了数据。
ShinyHunters同样以大规模数据窃取闻名。今年4月，该团伙因宣称从游戏开发商Rockstar Games窃取数百万条商业记录而受到关注；5月，针对教育技术平台Canvas的攻击曾导致美国多所学校大面积中断。本月，人工智能公司Anthropic表示，已发现与ShinyHunters有关联的黑客试图使用其工具。
公开的网络犯罪团伙之间争斗并不罕见。今年早些时候，新兴勒索软件团伙0APT与KryBit就曾互相入侵并泄露对方内部数据。
该事件对受害者意味着什么 一方面，如Malwarebytes的Pieter Arntz在博文中所写：好消息是，当他们互相针对时，可能暂时少有精力去攻击合法企业。
另一方面，目前尚不清楚ShinyHunters是否真正获得了Cl0p受害者的信息。该团伙尚未提供已掌握相关数据的证据，却已威胁公布据称曾向Cl0p付款的公司信息，包括金额与比特币地址。若其确实掌握了与Cl0p受害者相关的额外信息，这些机构可能面临进一步暴露，甚至再次遭遇勒索。
AttackIQ威胁知情防御副总裁Jon Baker表示，目前没有证据表明ShinyHunters真正拿到了Cl0p的受害者文件，但更重要的一点是：“被盗信息不会自动退役。”“这些数据会留在原始团伙、其附属方和基础设施提供商运营的服务器上，每一份副本都是再次被盗、转售或曝光的机会。一家公司可能要为多年都无法定位或控制的数据承担责任。”
Keeper Security首席执行官兼联合创始人Darren Guccione指出，根本问题在于：“即便付了赎金，也不能指望犯罪分子信守约定。”“为删除数据而付款，等于假定对方会销毁数据，但你是在与以欺骗和盗窃为商业模式的人谈判。一旦数据离开勒索团伙控制，就没有机制可以验证它是否被销毁，没有审计轨迹，承诺被违背时也没有救济途径。”
这场公开对峙再次说明：数据一旦被窃取，勒索软件团伙就可能长期为存储在无法保障、无法审计甚至无法定位的基础设施上的信息负责。网络犯罪分子之间的基础设施漏洞，同样可能被对手利用；而对合法企业而言，被盗数据在犯罪分子之间易手，只会增加再次被利用的风险。
臭名昭著的暗网勒索软件团伙Cl0p发布了一份因Cleo的托管文件传输（MFT）软件漏洞而受到攻击的公司名单。
Cl0p团伙在其暗网泄密网站上发布公告，重点指出了对严重漏洞CVE-2024-50623的利用。该漏洞允许未经身份验证的远程代码执行，并被Cl0p团伙积极用于渗透全球企业的网络。
该漏洞影响Cleo Harmony、VLTrader和LexiCom产品。尽管2024年10月发布了补丁，但网络安全研究人员发现该补丁不够完善，系统容易受到攻击。
该漏洞使攻击者能够上传恶意文件，这些文件会被软件自动执行，从而允许他们未经授权访问敏感数据。此后已发布了较新的补丁（版本5.8.0.24），但由于更新延迟或缓解措施不足，许多团伙仍然容易受到攻击。
Cl0p勒索软件团伙已宣布通过这一漏洞对全球许多目标发起攻击，目前至少有66家企业遭到攻击，受害者涉及物流、消费品和食品供应链等行业。
虽然仅披露了部分受影响企业的名称，但该团伙威胁说，如果赎金要求在1月21日之前得不到满足，他们将公布全部详细信息。
Cl0p勒索软件团伙的勒索策略 Cl0p以其复杂的勒索手段而闻名，它使用多层次的压力来强迫受害者支付赎金。在本案中，该团伙提供了安全的谈判沟通渠道，并警告称不遵守规定将导致被盗数据被公开。这种方法与Cl0p以前的活动如出一辙，例如2023年的MOVEit漏洞，当时数百家公司面临类似的威胁。
该团伙的暗网帖子还宣布计划分阶段发布更多受害者名单。第一批数据预计将于1月18日发布，随后将陆续发布后续数据。
Cleo已意识到问题的严重性，并发布了最新公告，敦促客户立即应用最新补丁。该公司还延长了24/7支持服务，以帮助受影响的客户保护其系统。
然而，网络安全专家警告说，使用Cleo产品的企业必须保持警惕，因为攻击者可能会继续瞄准未修补的系统。
此次事件凸显了勒索软件团伙利用广泛使用的文件传输平台漏洞的广泛趋势。Cl0p的历史包括对Accellion、GoAnywhere MFT和MOVEit软件的类似攻击，展示了利用零日漏洞进行大规模数据泄露的模式。
此次最新攻击凸显了及时补丁管理和强大的网络安全措施的重要性。依赖第三方软件的企业必须主动监控漏洞并及时实施缓解措施以减少风险。
随着Cl0p继续针对Cleo用户发起攻击，受影响的公司面临着越来越大的压力，需要迅速做出反应，否则将面临严重的声誉和财务损失。网络安全社区敦促所有企业优先更新系统并与执法机构合作，以减轻此类攻击的影响。
不断发展的形势清楚地提醒我们，像Cl0p这样的勒索软件团伙所构成的威胁以及他们利用关键基础设施漏洞的不断演变的策略。
Cl0p勒索软件团伙的暗网V3域名以及发布的公告 http://santat7kpllt6iyvqbr7q4amdv6dzrh6paatvyrzl7ry3zm72zigf4ad.onion/
Dear companies
A new part of the companies list will be partially opened and presented on 21.01. Hurry up to contact us so that your name is not on this list!!!
Cl0p announcement.
We have data of many companies who use cleo. Our teams are reaching and calling your company and provide your special secret chat.
据报道，西门子能源公司（德国慕尼黑；www.siemens-energy.com）和施耐德电气公司（法国吕埃尔-马尔迈松；www.se.com）这两家关键基础设施行业的工业控制系统（ICS）供应商已被网络犯罪团伙CL0P列为勒索软件受害者，但是否有针对性的攻击尚未得到证实。
该勒索软件团伙（也称为TA505）从2023年5月27日开始利用MOVEit Transfer（一款面向互联网的自动文件传输Web应用程序）中的漏洞，据报道该团伙已经列出了全球数百家公司的名单。据威胁网络安全情报平台FalconFeeds6月27日在推文中称，CL0P勒索软件组织在其暗网泄密网站中将西门子能源、施耐德电气和其他一批实体列为新的受害者。
CL0P #ransomware group has added five new victims:
– https://t.co/b5TXXSO3oi
– Schneider Electric (https://t.co/icrsZ9CAwB)
– Siemens Energy (https://t.co/89TbkQ3YMn)
– UCLA (https://t.co/hoy9JuoHTT)
– Abbie (https://t.co/AtFS3GFSGi)#MOVEIT #Cl0p #DarkWeb #DeepWeb #CyberRisk pic.twitter.com/mTpLZdCzbW
— FalconFeedsio (@FalconFeedsio) June 27, 2023 西门子能源公司在一份声明称，它已了解这一预警，并将继续与政府合作伙伴和客户密切合作，以确定这些说法是否属实。“我们拥有一支世界一流的事件响应团队，我们还有一个ProductCERT组织，负责在发生漏洞或攻击事件时进行披露。”一位公司官员指出。
CL0P的阴险手段 CL0P因其使用特定的恶意软件感染MOVEit Transfer的Web应用程序的能力，然后使用该恶意软件从MOVEit Transfer底层数据库窃取数据，而受到美国联邦政府的审查。美国网络安全和基础设施安全局（CISA）和联邦调查局（FBI）在6月7日发布的联合网络安全咨询（CSA）中建议采取行动和缓解措施，以防范先前未知的结构化查询语言（SQL）注入漏洞（CVE-2023-34362）。
CISA表示：“CL0P出现于2019年2月，由CryptoMix勒索软件变体演变而来，在大规模鱼叉式网络钓鱼活动中被用作勒索软件即服务（RaaS），这些活动使用经过验证和数字签名的二进制文件来绕过系统防御。”。
CISA建议采取的防止或减轻影响的步骤包括，统计实体资产和数据清单、仅授予特定的管理权限，以及激活防火墙和路由器等网络基础设施设备上的安全配置。
此外，美国国务院根据正义悬赏的任务，于6月16日悬赏高达1000万美元，奖励那些将CL0P勒索软件团伙或任何其他针对美国关键基础设施的恶意网络行为者与外国政府联系起来的线索。
Advisory from @CISAgov, @FBI: https://t.co/jenKUZRZwt
Do you have info linking CL0P Ransomware Gang or any other malicious cyber actors targeting U.S. critical infrastructure to a foreign government?