تدعي رسائل البريد الإلكتروني الابتزاز CLOP سرقة بيانات Oracle E-Business Suite

يتتبع Mandiant و Google حملة ابتزاز جديدة حيث تلقى المديرون التنفيذيون في العديد من الشركات رسائل بريد إلكتروني تدعي أن البيانات الحساسة قد سُرقت من Suite Oracle E-Business Suite

وفقًا لـ Genevieve Stark ، رئيس قسم الجريمة الإلكترونية وعمليات المعلومات في GTIG ، بدأت الحملة في أواخر سبتمبر.

“This activity began on or before September 29, 2025, but Mandiant’s experts are still in the early stages of multiple investigations, and have not yet substantiated the claims made by this group,” قال ستارك.

صرح Charles Carmakal ، CTO of Mandiant – Google Cloud ، أنه يتم إرسال رسائل البريد الإلكتروني الابتزاز من عدد كبير من حسابات البريد الإلكتروني المعرضة للخطر.

“We are currently observing a high-volume email campaign being launched from hundreds of compromised accounts and our initial analysis confirms that at least one of these accounts has been previously associated with activity from FIN11, a long-running financially motivated threat group known for deploying ransomware and engaging in extortion,” أوضح Carmakal.

ذكرت Mandiant و GTIG أن رسائل البريد الإلكتروني تحتوي على عناوين جهة اتصال معروفة بأنها مدرجة في موقع تسرب البيانات الخاص بـ Clop Ransomware ، مما يشير إلى وجود رابط محتمل لمجموعة الابتزاز.

ومع ذلك ، يقول Carmakal إنه على الرغم من أن التكتيكات تشبه حملات الابتزاز السابقة لـ CLOP وعناوين البريد الإلكتروني تشير إلى وجود رابط محتمل ، لا يوجد أدلة كافية لتحديد ما إذا كانت البيانات قد سُرقت بالفعل.

يوصي Mandiant و GTIG بأن تقوم المؤسسات التي تتلقى رسائل البريد الإلكتروني هذه بالتحقيق في بيئاتها للوصول أو التسوية غير العادية في منصات جناح Oracle E-Business.

اتصل BleepingComputer بعصابة Clop Ransomware لتأكيد ما إذا كانت وراء رسائل البريد الإلكتروني الابتزاز ، لكنها لم تتلق رد في هذا الوقت.

لقد اتصلنا أيضًا بـ Oracle لتحديد ما إذا كانوا على دراية بأي استغلال في اليوم صفر حديثًا قد أدى إلى سرقة البيانات.

إذا كان لديك أي معلومات بخصوص هذا الحادث أو أي هجمات أخرى غير معلنة ، فيمكنك الاتصال بنا بسرية عبر الإشارة على الرقم 646-961-3731 أو في tips@blepingcomputer.com.

من هي عصابة الابتزاز كلوب؟

تم تتبع عملية Clop Ransomware ، التي تم تتبعها أيضًا باسم TA505 و CL0P و FIN11 ، في مارس 2019 عندما بدأت في استهداف شبكات المؤسسات مع متغير من Cryptomix Ransomware.

مثل عصابات Ransomware الأخرى ، يخرق أعضاء CLOP شبكات الشركات ، وسرقة البيانات ، ثم ينشرون البرامج الفدية لتشفير الأنظمة.

ثم يتم استخدام البيانات المسروقة والملفات المشفرة كرافعة مالية لإجبار الشركات على دفع طلب فدية في مقابل عدم فك التشفير ومنع تسرب البيانات المسروقة.

على الرغم من أن المجموعة لا تزال معروفة بنشر برنامج Ransomware ، منذ عام 2020 ، تحولت إلى استغلال نقاط الضعف في يوم صفر في منصات نقل الملفات الآمنة لسرقة البيانات.

بعض من أبرز هجماتهم تشمل:

• 2020: استغلال يوم صفر في منصة Accellion FTA، مما يؤثر على ما يقرب من 100 منظمة.
• 2021: استغلال يوم صفر في Solarwinds Serv-U FTP برمجة.
• 2023: استغلال أ”https://www.bleepingcomputer.com/news/security/fortra-shares-findings-on-goanywhere-mft-zero-day-attacks/” الهدف=”_blank” rel=”nofollow noopener”> يوم الصفر في منصة Goanywhere MFT، خرق أكثر من 100 شركة.
• 2023 Moveit Transfer Attack: حملة ممثل التهديد الأكثر شمولاً حتى الآن ، حيث يسمح باستغلال يوم صفر”https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/” الهدف=”_blank” rel=”nofollow noopener”> سرقة البيانات من 2773 منظمة في جميع أنحاء العالم.

كانت أحدث حملة مرتبطة بـ CLOP في أكتوبر 2024 ، عندما تكون الجهات الفاعلة للتهديد”https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-responsibility-for-cleo-data-theft-attacks/” الهدف=”_blank” rel=”nofollow noopener”> استغلالي نقل ملف Cleo أيام الصفر (CVE-2024-50623 و CVE-2024-55956) لسرقة البيانات والابتزاز.

تقدم وزارة الخارجية الأمريكية حاليًا”https://www.bleepingcomputer.com/news/security/us-govt-offers-10-million-bounty-for-info-on-clop-ransomware/” الهدف=”_blank” rel=”nofollow noopener”> مكافأة 10 ملايين دولار من خلال برنامج مكافآت العدالة للمعلومات التي تربط أنشطة Clop Ransomware إلى حكومة أجنبية.