해킹 그룹 ShinyHunters가 유명 랜섬웨어 조직 Clop의 다크웹(Tor) 데이터 유출 사이트를 침해하고 사이트를 변조했습니다. ShinyHunters는 Grav CMS라는 웹사이트 관리 소프트웨어의 인증 없이 파일을 올릴 수 있는 취약점을 악용해 서버에 침투했으며, 소스코드·시스템 로그·Tor 비공개 키 등 민감한 데이터를 훔쳤다고 주장합니다. 특히 Tor 사이트의 비공개 키를 확보했다면, Clop이 쫓아내도 같은 주소로 가짜 사이트를 운영할 수 있어 피해가 클 수 있습니다. 이 사건의 배경에는 두 사이버범죄 집단 간 오래된 갈등이 있는데, Clop이 2025년 Oracle E-Business Suite 취약점(CVE-2025-61882)을 악용해 데이터를 탈취할 때 ShinyHunters의 익스플로잇(공격 코드)을 무단 사용했다는 주장이 도화선이 됐습니다. ShinyHunters는 이제 탈취한 데이터로 Clop을 역으로 협박할 계획이라고 밝혔습니다.
ShinyHunters가 Clop 랜섬웨어 조직의 Tor 데이터 유출 사이트를 Grav CMS의 인증 없는 파일 업로드 취약점을 악용해 침해하고 사이트를 변조했다. 서버 데이터, 시스템 로그, Tor 온이온 서비스 비공개 키 등을 탈취했다고 주장한다.
Clop의 Tor 사이트가 ShinyHunters의 포켓몬 캐릭터 이미지로 변조됐다. 비공개 키 탈취가 사실이면 ShinyHunters가 Clop의 기존 .onion 주소를 그대로 사용해 자체 서버에서 사이트를 운영할 수 있다. 시스템 로그에 서버 접속자 IP 주소가 포함될 가능성도 있다.
Clop의 Tor 사이트를 구동하는 Grav CMS에 인증 없이 파일을 업로드할 수 있는 취약점이 존재했다. 두 그룹 간 갈등은 Clop이 ShinyHunters 소유 익스플로잇을 무단 사용해 Oracle E-Business Suite(CVE-2025-61882) 공격을 수행하면서 시작됐다.
ShinyHunters는 72시간 이내에 Clop이 자신들에게 연락할 것을 요구하는 메시지를 게시할 계획이다. BleepingComputer는 변조 사실을 직접 확인했으나, 로그·소스코드·비공개 키 탈취 주장은 아직 독립적으로 검증하지 못했다. Clop에도 공식 입장을 요청한 상태다.
사이버범죄 조직도 타 범죄 집단의 공격 대상이 된다는 사실은, CMS(콘텐츠 관리 시스템) 취약점이 얼마나 광범위하게 악용되는지를 보여준다. 기업 보안 담당자는 공개된 웹 애플리케이션·CMS의 인증 관련 취약점 패치 상태를 점검하고, Tor 기반 인프라 운영 시 비공개 키 보호에 각별히 유의해야 한다.
본문
ShinyHunters 갈취 조직이 Clop(일명 Cl0p) 랜섬웨어 조직의 데이터 유출 사이트를 침해해 Tor 사이트를 변조하고, 서버 데이터와 온이온 서비스 비공개 키를 탈취했다고 주장했다.
공격은 금요일 밤 ShinyHunters가 Grav CMS에서 발견했다는 인증 없는 파일 업로드 취약점을 악용해 Clop 사이트에 소형 텍스트 파일을 업로드하면서 시작됐다.
Clop 데이터 유출 사이트에서 다운로드된 파일
출처: BleepingComputer
해당 텍스트 파일에는 Clop 랜섬웨어 조직을 향한 메시지가 담겨 있었으며, 협박하지 말 것을 경고하고 ShinyHunters 자체 데이터 유출 사이트 링크를 포함했다.
"이 사이트는 SHINYHUNTERES에게 뚫렸다 #Skids10p — 다음에는 우릴 협박하려 들지 마라"라는 내용이 업로드된 파일에 적혀 있었다.
Clop 데이터 유출 사이트에 업로드된 파일
출처: BleepingComputer
파일에는 ShinyHunters 데이터 유출 사이트 링크도 포함돼 있었다.
BleepingComputer는 해당 파일이 Clop 서버에 업로드됐으며 랜섬웨어 조직의 Tor 사이트에서 직접 다운로드할 수 있다는 사실을 확인했다.
수 시간 후 ShinyHunters는 BleepingComputer에 Clop 사이트를 "완전히 변조했다"고 밝혔다.
사이트를 직접 방문해 확인한 결과, ShinyHunters의 로고로 쓰이는 포켓몬 캐릭터 Umbreon의 ASCII 아트가 표시된 페이지로 대체된 것이 확인됐다. 변조 페이지에는 그룹의 Tor 사이트 링크와 "'19년부터 당신네 시스템을 루팅(관리자 권한 탈취)해 왔다 ;)"라는 문구도 포함돼 있었다.
ShinyHunters에 의해 변조된 Clop 데이터 유출 사이트
출처: BleepingComputer
이 글을 작성하는 시점에도 변조된 페이지가 Clop의 인프라에서 계속 서비스되고 있다고 ShinyHunters는 밝혔다.
ShinyHunters, 데이터 탈취 주장
ShinyHunters는 BleepingComputer에 서버에 "완전한 접근" 권한을 확보해 소스코드, Grav CMS 플러그인, 시스템 로그 및 기타 데이터를 탈취했다고 말했다.
"우리가 훔친 데이터에는 소스코드, Grav CMS 플러그인 등 여러 가지가 포함돼 있다. 지금도 계속 다운로드하고 검토 중이다"라고 ShinyHunters는 BleepingComputer에 전했다.
이들은 또한 /var/log 경로에 저장된 모든 파일을 탈취했다고 주장했는데, 해당 경로에는 시스템 활동 기록, 인증 로그, 그리고 잠재적으로 접속자 IP 주소가 포함될 수 있다.
ShinyHunters는 Clop의 Tor 온이온 서비스에 사용된 비공개 키도 확보했다고 주장했다.
"우리가 그들의 온이온 키를 갖고 있다. 그들이 우리를 쫓아내도 상관없다. 우리가 동일한 온이온 URL로 사이트를 호스팅할 수 있는 비공개 키를 통제하고 있으니까"라고 해당 위협 행위자는 주장했다.
만약 이 키가 유효하다면, 위협 행위자들은 자신들이 통제하는 서버에서 Clop의 기존 온이온 주소를 그대로 사용하는 Tor 사이트를 운영할 수 있게 된다.
BleepingComputer는 변조 사실과 이전에 업로드된 파일은 독립적으로 확인했으나, ShinyHunters가 서버 로그·소스코드·Clop의 온이온 비공개 키를 탈취했다는 주장은 독립적으로 검증하지 못했다.
ShinyHunters는 현재 탈취했다고 주장하는 데이터를 검토 중이라고 밝혔다.
훔친 정보로 무엇을 할 계획이냐는 질문에 해당 위협 행위자는 "그들을 협박할 것"이라고 답했다.
이 그룹은 자체 유출 사이트에 Clop에게 72시간 이내 연락할 것을 지시하는 메시지를 게시할 계획이라고 밝혔다.
사이버보안 연구원 VXDB는 BleepingComputer에, 현재 Clop 유출 사이트에 표시된 Umbreon 아트워크가 ShinyHunters가 주도했다고 주장한 2020년 8월 HackForums 웹사이트 변조 사건 당시 사용된 것과 동일하다고 전했다.
사이버범죄 조직 간의 갈등
ShinyHunters는 이번 공격이 두 사이버범죄 그룹 간 진행 중인 갈등 과정에서 Clop 측 인물이 가한 협박에 대한 보복이라고 밝혔다.
ShinyHunters에 따르면, Clop 측 인물은 ShinyHunters가 Clop의 데이터 탈취 캠페인을 방해한 후 그룹 구성원을 신원 특정하겠다고 협박하고 폭력적인 위협을 가했다.
ShinyHunters는 이 분쟁이 Clop의 2025년 Oracle E-Business Suite 데이터 탈취 캠페인으로 거슬러 올라간다고 말했다.
2025년 10월, Clop은 Oracle E-Business Suite 서버의 여러 취약점을 악용했는데, 여기에는 CVE-2025-61882로 추적되는 제로데이(zero-day, 패치가 없는 신규 취약점) 결함도 포함됐으며, 이를 통해 조직들로부터 데이터를 탈취해 갈취 캠페인을 벌였다.
같은 시기, "Scattered Lapsus$ Hunters"라고 자칭하는 위협 행위자들(ShinyHunters 포함)이 개념증명(PoC) 익스플로잇을 유출했으며, Oracle은 이후 해당 익스플로잇이 Clop 공격에 사용된 것과 일치한다고 확인했다.
당시 ShinyHunters는 BleepingComputer에 해당 익스플로잇이 원래 자신들 것이었으며 Clop이 무단으로 취득한 것이라고 밝혔다.
ShinyHunters는 Oracle 캠페인 이후 긴장이 고조됐으며, Clop 측 인물이 그룹 구성원들을 협박했다고 주장했다.
"그들이 진행한 Oracle EBS 캠페인에서 작년에 제 것을 훔쳤는데, Cl0p 소속 누군가가 저에게 직접 메시지를 보냈다. 러시아어에서 번역하면 이렇다: '나는 너네 사람들 전부를 합친 것보다 돈이 많다, 곧 널 죽이겠다'"고 ShinyHunters는 BleepingComputer에 전했다.
BleepingComputer는 이 주장을 독립적으로 검증하지 못했으며, 침해 사건 및 ShinyHunters가 제기한 주장에 대해 Clop 측에 공식 입장을 요청했고, 답변을 받으면 기사를 업데이트할 예정이다.
AI 기반 공격에 대비한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 그만해야 할 것은 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리를 예약하세요
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
