Mais que diable s’est-il donc passé ? D’après ShinyHunters, le groupe aurait exploité une vulnérabilité dans Grav, le CMS utilisé par Clop, pour déposer un fichier sur le serveur du gang sans avoir à s’authentifier. À l’intérieur, un avertissement : « Maybe don’t try to threaten us next time », soit « La prochaine fois, évitez peut-être de nous menacer ».

Quelques heures plus tard, ShinyHunters passait à la vitesse supérieure. Le site de Clop avait entièrement changé de visage et affichait désormais Noctali, le Pokémon utilisé comme emblème par ShinyHunters, ainsi qu’un lien vers le site Tor du groupe et un message revendiquant l’intrusion.

Toute cette partie de l’affaire a pu être vérifiée par BleepingComputer. Pour la suite, il faut en revanche s’en remettre aux seules déclarations de ShinyHunters, qui affirme avoir obtenu un accès complet au serveur et téléchargé son code source, ses plugins ainsi que le contenu du répertoire /var/log. Pour vous donner une idée de la gravité de la situation pour Clop, ces journaux peuvent contenir des traces d’activité, des événements d’authentification ou encore des informations sur les connexions d’administration. En gros, tout ce qu’un groupe cybercriminel préférerait ne jamais voir divulgué.

ShinyHunters assure aussi avoir mis la main sur les clés privées du service onion de Clop. Si l’information se vérifie, le coup serait encore plus sévère. Ces clés étant directement liées à l’adresse .onion du site, leur compromission permettrait théoriquement à ShinyHunters de se faire passer pour Clop et d’héberger un autre service derrière la même adresse. Le gang pourrait bien nettoyer son infrastructure et remettre son site sur pied, son adresse Tor historique serait définitivement grillée, faute de pouvoir garantir qui se trouve réellement derrière. Et quand on a fait son beurre sur une vitrine aussi connue, perdre l’adresse qui y mène fait quand même un peu désordre.