ShinyHunters: FBI roept leden op zich aan te geven

De FBI heeft leden van de afpersingsgroep ShinyHunters publiekelijk opgeroepen zich aan te geven. De oproep volgt op de arrestatie in Nederland van een man die volgens de Amerikaanse federale recherche een van de vermoedelijke leiders van de groep is.

De boodschap kwam dinsdag in een video van Brett Leatherman, Assistant Director van de Cyber Division van de FBI. "Vandaag hebben onze partners bij de Nederlandse Nationale Politie de arrestatie bekendgemaakt van een van de vermoedelijke leiders van ShinyHunters, een groep die in verband wordt gebracht met cyberaanvallen in de Verenigde Staten, Nederland en de rest van de wereld", zei hij.

Een 24-jarige Amsterdammer

Volgens de Nationale Politie gaat het om een 24-jarige man uit Amsterdam die op 15 september is aangehouden. Hij wordt ervan verdacht een rol te spelen binnen ShinyHunters en deel te nemen aan een criminele organisatie.

De politie maakte ook een ernstiger vondst bekend. "Na zijn aanhouding op 15 september is op zijn laptop veel informatie aangetroffen, waaronder gegevens over twee moorden die in het buitenland gepleegd zouden worden", aldus de Nederlandse politie, die eraan toevoegde: "Er zijn aanwijzingen dat de verdachte hiervoor de opdracht heeft gegeven."

De rechtbank Rotterdam besliste dinsdag dat de man nog minstens 90 dagen in voorarrest blijft. De politie sluit verdere aanhoudingen niet uit. Ook liet ze weten dat de verdachte niet is opgepakt in het kader van het afzonderlijke onderzoek naar de hack van ShinyHunters bij de Nederlandse telecomprovider Odido.

140 slachtoffers en 70 miljoen dollar aan betalingen

Volgens de FBI hebben ShinyHunters en de vermoedelijke medeplichtigen sinds vorig jaar bij meer dan 140 organisaties ingebroken en minstens 70 miljoen dollar aan afpersingsgeld opgehaald.

De groep richt zich vooral op zakelijke single sign-on-accounts (SSO), externe leveranciers en SaaS-platforms in de cloud zoals Salesforce en Snowflake. Zodra gevoelige gegevens zijn buitgemaakt, zet de groep slachtoffers onder druk met de dreiging die gegevens te publiceren.

Het datalek bij de FBI zelf

De waarschuwing komt kort nadat ShinyHunters de verantwoordelijkheid opeiste voor een groot datalek bij de FBI. De aanvallers vertelden BleepingComputer dat daarbij een zeroday-kwetsbaarheid in Oracle PeopleSoft is misbruikt.

De groep beweerde tussen de twee en drie terabyte aan gegevens uit FBI-systemen te hebben gehaald, waaronder informatie over verschillende interne diensten. Om die claims te onderbouwen, bood de groep later een steekproef van ongeveer 5.000 personeelsdossiers van de FBI aan bij mediaorganisaties, waaronder BleepingComputer.

BleepingComputer ging niet op het aanbod in. 404 Media meldde echter dat de gegevens namen en persoonsgegevens bevatten van leden van de Remote Operations Unit van de FBI, een geheimzinnig team dat betrokken is bij hackoperaties. Reuters berichtte dat een deel van de blootgestelde medewerkers was ingezet bij onderzoeken naar China en Rusland, wat vragen oproept over hoe gevoelig de informatie is.

ShinyHunters liet BleepingComputer weten dat de aanval op de FBI nooit om geld draaide, geen afpersingspoging was en niet bedoeld was om tot een datalek te leiden. In plaats daarvan wilde de groep naar eigen zeggen een advies van de FBI weerleggen. In dat advies staat dat leden van ShinyHunters hun toegang tot gevoelige informatie mogelijk overdrijven, slachtoffers en hun naasten lastigvallen, swatting-aanvallen uitvoeren en ten onrechte beweren over compromitterend materiaal te beschikken.

"Neem eerst zelf contact op"

Met de video van dinsdag kiest de FBI voor een veel openlijkere aanpak van de groep. Leatherman richtte zich rechtstreeks tot de overgebleven leden.

"Jullie hebben gehoord over de arrestatie van jullie collega. We zijn ervan overtuigd dat jullie de afgelopen dagen dingen hebben gezien of gehoord die het publiek niet weet", zei hij.

"Andere groepen dachten dat anonimiteit, of hun vrienden, hen zou beschermen, en ze hadden het mis. Arrestaties veranderen vaak wie er bereid is te praten, en in beslag genomen infrastructuur laat ons vaak zien wie er nog over is."

Volgens Leatherman verzamelen rechercheurs nog steeds informatie over mensen die bij de groep betrokken zijn en wordt er actief op hen gejaagd.

"Hoe langer je hierin blijft, hoe meer we over je te weten komen. Je weet hoe je ons kunt vinden, en wij weten hoe we jou kunnen vinden. Ik raad je aan eerst zelf contact op te nemen, nu de keuze nog aan jou is."

Onze analyse

Een videoboodschap die rechtstreeks aan verdachten is gericht, is geen gebruikelijke zet voor de FBI, en het wijst erop dat de dienst de Nederlandse arrestatie als drukmiddel wil gebruiken. De logica kennen we van eerdere acties: zodra een persoon vastzit en apparatuur in beslag is genomen, kunnen de overige leden niet zeker weten wat rechercheurs al weten. De FBI lijkt erop te gokken dat die onzekerheid sommigen van hen ertoe aanzet mee te werken voordat ze worden geïdentificeerd. Recente zaken zoals de schuldbekentenis van de beheerder van de Rydox-marktplaats laten zien dat Amerikaanse aanklagers cybercriminelen via de rechter blijven vervolgen.

Er speelt hier ook een persoonlijk element. De geclaimde inbraak in FBI-systemen, en het gemelde uitlekken van gegevens van medewerkers van de Remote Operations Unit, maken van deze zaak meer dan een routineonderzoek naar afpersing. De openlijke toon van de waarschuwing is daar mogelijk deels een gevolg van.

Voor verdedigers betekent de arrestatie niet dat de dreiging voorbij is. ShinyHunters wordt beschreven als een groep met meerdere leden, en de werkwijze - het aanvallen van SSO-accounts, leveranciers en SaaS-platforms - is door anderen na te bootsen. Organisaties die sterk leunen op clouddiensten doen er goed aan de toegang van derden en de beveiliging van accounts te blijven controleren, hoe deze zaak zich ook ontwikkelt.

Het is de moeite waard om in de gaten te houden of het Nederlandse onderzoek tot verdere aanhoudingen leidt, zoals de politie liet doorschemeren, en of de oproep van de FBI tot zichtbare overlopers leidt. Hoe ShinyHunters reageert - met stilte, nieuwe lekken of meer aanvallen - zal ook veel zeggen over de vraag of de druk werkt.