ShinyHunters contre-attaque Clop : analyse d'un retournement de situation inédit dans la cybercriminalité

Le 19 septembre 2026, une cyberattaque ShinyHunters contre Clop a déchiré le voile du dark web. Le groupe d’extorsion, connu pour ses fuites de données massives, a pris le contrôle du site de leak du célèbre ransomware Clop (Cl0p). Cette opération ne se limite pas à une simple déface numérique ; elle constitue un véritable séisme géopolitique dans le monde souterrain de la cybercriminalité. Ce conflit fratricide entre deux des plus grands noms de l’extorsion numérique pourrait redistribuer les cartes du pouvoir sur le dark web, et offre aux observateurs une leçon magistrale sur la fragilité des infrastructures criminelles. En exploitant une vulnérabilité critique de Grav CMS, ShinyHunters affirme avoir dérobé des données opérationnelles cruciales, dont potentiellement les clés privées du service Tor de son rival. Que s’est-il passé, quels sont les enjeux de cette guerre des gangs, et quelles leçons les entreprises françaises doivent-elles en tirer ? Cet incident rare offre une fenêtre unique sur les fragilités des infrastructures malveillantes.

Cyberattaque ShinyHunters contre Clop : plongée au cœur d’une guerre des gangs sans merci

L’exploitation d’une vulnérabilité file upload dans Grav CMS

L’attaque a débuté par une phase de reconnaissance minutieuse. ShinyHunters a identifié une faille de sécurité de type unauthenticated file upload dans l’instance Grav CMS hébergeant le site de leak de Clop. Ce type de vulnérabilité, pourtant bien documentée, reste régulièrement exploitable sur des systèmes non mis à jour. Grav est un CMS flat-file, ce qui signifie qu’il ne nécessite pas de base de données pour fonctionner. Cette architecture, bien que performante, repose entièrement sur la sécurité du système de fichiers et des répertoires. Une vulnérabilité de téléversement non authentifié compromet donc l’intégrité même du site, permettant à un attaquant non seulement de déposer des fichiers, mais aussi de les exécuter potentiellement.

Le groupe a pu téléverser un fichier texte directement sur le serveur, un acte technique simple mais aux conséquences dévastatrices.

“THIS SITE HAS BEEN PWN3D BY SHINYHUNTERES #Skids10p - Maybe don’t try to threaten us next time.”

Ce fichier contenait un message explicite à destination de Clop, accompagné d’un lien direct vers le site de leak de ShinyHunters. BleepingComputer, source reconnue dans le domaine de la cybersécurité, a confirmé la présence de ce fichier sur l’infrastructure de Clop, validant ainsi la première étape de l’intrusion.

Dans un second temps, l’offensive s’est intensifiée. ShinyHunters a annoncé avoir “complètement défiguré” la plateforme. Les visiteurs du portail Tor de Clop ont alors découvert une page entièrement remplacée par un dessin en ASCII art d’Umbreon, un Pokémon utilisé comme signature par ShinyHunters. Ce choix iconographique n’est pas anodin : selon le chercheur VXDB, ce même art ASCII avait été utilisé lors de la déface du forum HackForums en août 2020, une opération également revendiquée par le groupe. Cette signature permet d’attribuer l’attaque avec un haut degré de certitude. Le message suivant accompagnait cette déface :

rooting your systems since '19 ;)

Les racines du conflit : Oracle EBS et menaces personnelles

L’animosité entre ShinyHunters et Clop trouve son origine dans la campagne de fuites de données menée par Clop à l’automne 2025, ciblant les serveurs Oracle E-Business Suite. Clop exploitait alors un zero-day, identifié sous la référence CVE-2025-61882, pour dérober des données massives aux entreprises. La vulnérabilité CVE-2025-61882 a été un tournant. En ciblant des serveurs Oracle E-Business Suite, Clop a pu frapper des milliers d’entreprises mondiales, semant la panique parmi les RSSI. ShinyHunters affirme avoir développé le Proof of Concept (PoC) original de cette faille, et que Clop se l’est approprié sans autorisation pour lancer sa campagne de fuites de données à grande échelle.

Cette situation a dégénéré en un conflit personnel. ShinyHunters a rapporté les propos suivants de la part d’un représentant de Clop :

“J’ai plus d’argent que toi et tous tes gens réunis, je vais bientôt te tuer.”

BleepingComputer précise n’avoir pas été en mesure de vérifier ces graves allégations de manière indépendante. Cependant, la teneur de ces menaces explique le caractère particulièrement vengeur de la contre-attaque. Cette situation rappelle que les réseaux criminels, bien que puissants, sont régis par des dynamiques humaines de pouvoir, de jalousie et de trahison, les rendant aussi fragiles que n’importe quelle organisation.

Analyse du butin : codes sources, logs et clés Tor

Au-delà de la simple humiliation, l’objectif de ShinyHunters semble être la neutralisation totale de son rival. Le groupe affirme avoir obtenu un “accès complet” au serveur, lui permettant de copier une quantité massive de données.

“Les données que nous avons volées comprennent les codes sources, les plugins Grav CMS et d’autres choses. Nous sommes encore en train de télécharger et de les examiner.”

L’exfiltration des codes sources et des plugins Grav CMS permet à ShinyHunters d’analyser en profondeur les outils et les backdoors de Clop. La perte des codes sources est un coup dur pour toute entité, criminelle ou non. Pour Clop, cela signifie que ses outils de chiffrement, ses chargeurs et ses interfaces de négociation sont désormais entre les mains de son ennemi. ShinyHunters peut les analyser, les désosser, et potentiellement développer des contre-mesures. Plus inquiétant encore, la copie de l’intégralité du répertoire /var/log expose potentiellement les adresses IP des victimes, les historiques de connexion des opérateurs de Clop, et potentiellement des identifiants d’accès. Cette fuite de données pourrait compromettre des années d’opérations criminelles de Clop.

La menace ultime : les clés privées du service Onion

Le point le plus critique de cette attaque réside dans la revendication de la possession des clés privées du service Onion de Clop. Un service onion (.onion) est identifié par un hash de sa clé publique. Si ShinyHunters détient la clé privée, il peut signer des messages et héberger le même service onion sur une infrastructure différente. Pour les victimes et les partenaires de Clop, il deviendra impossible de distinguer le vrai site du faux. ShinyHunters pourrait ainsi usurper l’identité de Clop pour extorquer les victimes de ce dernier.

“Nous avons leurs clés onion. Donc s’ils nous expulsent, cela n’aura aucune importance car nous contrôlons les clés privées pour héberger la même URL onion.”

Tableau : Impact des données volées sur les opérations de Clop

Quelles leçons pour les DSI et RSSI français ?

Bien que cet incident implique des acteurs illicites, il n’en demeure pas moins un cas d’école parfait pour les professionnels de la sécurité. Les techniques utilisées par ShinyHunters sont un rappel brutal que la surface d’attaque numérique est universelle. Voici les actions concrètes à mener dans votre organisation.

Sécurisation des CMS et des points d’entrée web Une faille d’upload non authentifié sur Grav CMS a été le vecteur initial de cette compromission massive. Selon le dernier rapport de l’ANSSI sur la menace, les vulnérabilités de type file upload non authentifié représentent près de 15% des failles critiques exploitées dans les CMS en 2025. Pour prévenir un tel scénario :

1. Maintenez à jour l’ensemble de vos instances CMS (Grav, WordPress, Joomla), en appliquant les correctifs de sécurité dès leur publication.
2. Restreignez strictement les permissions de téléversement de fichiers. Exigez une authentification forte pour toute action d’écriture sur le serveur.
3. Auditez régulièrement les plugins et extensions utilisés, en éliminant ceux qui ne sont plus maintenus par leurs éditeurs.

La résilience des journaux système (logs) L’exfiltration du répertoire /var/log est un scénario catastrophe souvent sous-estimé. Les logs sont la mémoire opérationnelle d’une infrastructure. Une étude de Verizon indique que plus de 80% des brèches de données impliquent une compromission des accès, souvent facilitée par des logs non protégés. Pour se prémunir contre ce risque :

• Centralisez vos logs sur une plateforme sécurisée (SIEM) distincte du serveur lui-même.
• Mettez en place une rotation et un chiffrement des logs, au repos comme en transit.
• Limitez la période de rétention des logs sensibles (adresses IP, données de connexion) au strict nécessaire légal et opérationnel.

La protection des identités numériques (clés privées) La compromission des clés privées Tor de Clop est l’élément le plus frappant de cette affaire. Que ce soit pour un service Tor, une signature de code ou un certificat TLS, la gestion des clés est critique. Les équipes sécurité doivent :

• Stocker les clés privées dans un module de sécurité matériel (HSM) ou un coffre-fort numérique dédié.
• Mettre en œuvre une séparation des tâches (split knowledge) pour éviter qu’une seule personne ne puisse compromettre la clé.
• Établir un plan de réponse à incident spécifique à la compromission de clés cryptographiques.

Parallèle de sécurité : Entreprise vs Gang ransomware

Ce parallèle montre que la discipline opérationnelle est le seul véritable rempart, même face à des adversaires considérés comme hautement sophistiqués.

Conclusion : un signal d’alarme pour l’écosystème cybersécurité

Cette cyberattaque ShinyHunters contre Clop est bien plus qu’un simple fait divers du dark web. Selon Chainalysis, les ransomwares ont généré plus d’un milliard de dollars de rançons en 2025, faisant de ce conflit un enjeu financier colossal. Elle illustre une fragilité systémique au cœur même de l’économie criminelle numérique. Aucune infrastructure, qu’elle soit légitime ou malveillante, n’est à l’abri d’une intrusion déterminée si les bases de la sécurité ne sont pas respectées.

Pour les RSSI français, la prochaine action est claire : profitez de cet avertissement pour auditer vos propres points d’entrée web, renforcer la sécurité de vos CMS et revoir vos procédures de gestion des identités. La guerre des gangs ne nous concerne pas directement, mais les leçons qu’elle engendre sont universelles. Ne sous-estimez jamais un adversaire, et ne lui donnez jamais une porte d’entrée.