Основы Интернет - технологий.

Правоохранительные органы США официально захватили контроль над доменом хакерского форума BreachForums (он же Breached) спустя три месяца после задержания его владельца и администратора Коннора Брайана Фитцпатрика (Conor Brian FitzPatric), также известного под ником Pompompurin.

Теперь по адресу breached[.]vc отображается баннер, в котором сказано, что сайт был закрыт ФБР, Министерством здравоохранения и социальных служб, Управлением генерального инспектора и Министерством юстиции США.

Также баннер гласит, что в закрытии BreachForums принимали участие и другие правоохранительные органы со всего мира, включая Национальную полицию Нидерландов, Федеральную полицию Австралии, Национальное агентство по борьбе с преступностью Великобритании и полицию Шотландии.

Интересно, что на этот раз, помимо логотипа закрытого сайта, баннер демонстрирует аватар Pompompurin’а, закованный в наручники.

Издание Bleeping Computer отмечает, что также был конфискован домен pompur[.]in, принадлежавший лично Фицпатрику, а сайт BreachForums в даркнете теперь отображает ошибку Nginx «404 Not Found».

DNS-серверы всех захваченных доменов изменены на ns1.seizedservers.com и ns2.seizedservers.com, которые обычно используются  правоохранителями в таких случаях.

Кто такой Pompompurin?

Pompompurin личность широко известная не только в хакерских кругах.  Раньше он занимался взломом компаний, а затем продавал или сливал украденные у них данные на черном рынке, а также был активным участником хак-форума RaidForums. Но после того как ФБР закрыло RaidForums в 2022 году, Pompompurin решил создать собственный сайт — Breach Forums.

Вскоре ресурс стал крупнейшим хак-форумом, посвященным утечкам данных, и чаще всего именно он использовался взломщиками и вымогателями для «слива» информации.

Помимо создания Breach Forums Pompompurin известен и рядом громких взломов. В частности, в конце 2021 года из-за конфликта с ИБ-экспертом Винни Троей (Vinny Troia) он взломал почтовые серверы ФБР и разослал фейковые предупреждения о кибератаках, заявив, что ответственность за эти инциденты лежит на Трое.

Также Pompompurin’а связывают с кражей данных миллионов пользователей Robinhood, утечкой данные 5,4 млн пользователей Twitter и другими крупными инцидентами.

Возрождение BreachedForum?

Напомню, что после ареста Pompompurin’а в марте 2023 года, оставшийся на свободе администратор сайта, известный как Baphomet, был вынужден закрыть хак-форум окончательно, так как обнаружил, что продолжать работу небезопасно. Ведь он считал, что к инфраструктуре BreachForums получили доступ правоохранители.

Тогда Baphomet сообщал, что всем пользователям закрытого форума стоило думать о собственной операционной безопасности (OPSEC).

Невзирая на это, в июне текущего года появились слухи, что Baphomet работает над перезапуском BreachForums на новом домене и сотрудничает с группировкой Shiny Hunters, известной многочисленными «сливами» данных. Одновременно с этим старый домен ресурса отключился и отображал лишь сообщение «Добро пожаловать в nginx!». То есть кто-то получил контроль над доменами и изменил их содержимое и конфигурацию. При этом Baphomet отрицал свою причастность к этим изменениям.

Затем на старых доменах сайта и вовсе появилось сообщение, предупреждающие пользователей о том, что BreachedForums никогда не вернется, а к любым форумам, претендующим на статус новой версии BreachedForum, следует подходить с осторожностью.

Позже это предупреждение было дополнено сообщениями якобы от лица Baphomet, так же предупреждавшими, что любые форумы, претендующие на роль BreachForums, следует считать небезопасными. Сам Baphomet опять отрицал, что вносил какие-либо изменения на старых доменах.

В итоге, через считанные дни новый BreachForums, запущенный Baphomet и Shiny Hunter, пострадал от утечки данных, и неизвестные хакеры опубликовали в открытом доступе украденную БД сайта. Впоследствии на старом домене Breached[.]vc появилось обновление, в котором рекомендовалось не доверять новому BreachForums, поскольку он уже взломан. Теперь послание содержало ссылку на SQL-файл с дампом украденной БД.

Журналисты отмечают, что все эти обновления сайта включали и скрытый HTML-комментарий «Мяу», за которым следовал плачущий смайлик: .

Хотя некоторые ИБ-специалисты предполагали, что все происходящее было попыткой правоохранительных органов воспрепятствовать дальнейшим утечкам данных, в итоге это привело к новому «сливу» базы данных BreachForums, и за этим вряд ли стояли власти. Скорее доступ к серверам получили другие злоумышленники, которые и публиковали упомянутые сообщения.