IntelBroker

IntelBroker creó una variante única de ransomware escrita en C# conocida como Endurance, y publicó su código fuente públicamente en su página de GitHub . Aunque se clasifica como ransomware, el software sobrescribe y luego elimina todos los archivos objetivo. ^{[ 10 ]} El Centro de Delitos Cibernéticos del Departamento de Defensa (DC3) confirmó que IntelBroker utilizó Endurance para hackear varias agencias del gobierno estadounidense. ^{[ 11 ]} Especularon que Endurance estaba relacionado con el software de borrado Shamoon , utilizado a veces por hackers iraníes, lo cual IntelBroker ha negado. ^{[ 6 ]} Después de 2023, IntelBroker ya no parece estar involucrado en actividades de ransomware. ^{[ 6 ]}

En noviembre de 2023, IntelBroker afirmó haber irrumpido en General Electric y robado datos pertenecientes a DARPA . Compartieron imágenes de lo que parecían ser proyectos militares de GE, pero no compartieron ningún archivo de muestra. Pidieron 500 dólares en BreachForums, un sitio de discusión en Internet , a cambio de los datos robados y el acceso a los procesos de desarrollo y software de GE, pero nadie aceptó la oferta en ese momento. Existían dudas sobre las afirmaciones de IntelBroker, pero también era posible que GE hubiera dejado accidentalmente partes de su red mal configuradas o expuestas a la intrusión. ^{[ 13 ]}

En abril de 2024, IntelBroker anunció que, junto con el hacker de sombrero negro Sanggiero, habían hackeado Acuity, un contratista tecnológico del gobierno estadounidense, y posteriormente obtuvieron información confidencial perteneciente a la organización de inteligencia Five Eyes y al ejército de los Estados Unidos. La gran mayoría de la información había sido almacenada en un repositorio de GitHub por Acuity, al que IntelBroker pudo acceder. ^{[ 18 ] [ 19 ]} La información incluía comunicaciones y documentos confidenciales entre miembros de Five Eyes, y la información de contacto de varios funcionarios del gobierno y del ejército de los Estados Unidos. ^{[ 20 ]} Sanggiero afirmó que la brecha se había producido el 7 de marzo, un mes antes de que se filtrara la información. ^{[ 21 ]} Tras una investigación, Acuity determinó que los datos filtrados eran antiguos y no sensibles. ^{[ 22 ]}

El 31 de marzo de 2024, IntelBroker ayudó a Sangierro en un hackeo del sitio web chino de comercio electrónico Pandabuy , con datos de usuarios vendidos en BreachForums por un pequeño pago "simbólico" en bitcoin . ^{[ 23 ] [ 24 ]} La información había sido inicialmente solicitada a Pandabuy por una cantidad desconocida de dinero, pero después de que se pagó, la filtración aún se publicó. ^{[ 25 ] [ 26 ]} IntelBroker y Sangierro afirmaron que la filtración contenía los nombres, datos de contacto, pedidos y direcciones de más de 3 millones de clientes de Pandabuy, mientras que un análisis del creador de " Have I Been Pwned? " , Troy Hunt, encontró que solo aproximadamente 1,3 millones de entradas de usuarios eran reales, mientras que el resto contenía direcciones de correo electrónico falsas. ^{[ 24 ] [ 27 ]} Pandabuy intentó censurar publicaciones en sus páginas de Discord y Reddit para encubrir la filtración, antes de ofrecer un "subsidio de flete del 10%" a los usuarios como compensación. Ambas acciones fueron recibidas negativamente por los clientes de Pandabuy. ^{[ 28 ] [ 29 ]}

El 3 de junio de 2024, Sanggiero publicó en BreachForums que venderían toda la información de la filtración de datos, que contenía más de 17 millones de registros de usuarios, por 40 000 dólares. Habían vuelto a pedir un rescate por la información a Pandabuy, que se negó a pagar, ya que ambos habían violado el acuerdo original y vendido la información. ^{[ 25 ] [ 26 ]}

El 10 de mayo de 2024, IntelBroker anunció en BreachForums que había obtenido acceso a 9128 registros confidenciales de la agencia policial de la Unión Europea , Europol , incluyendo información de empleados, código fuente y documentos de directrices. La mayoría de los registros provenían de la Plataforma para Expertos de Europol, una plataforma de debate para las fuerzas del orden, y del programa de evidencia electrónica SIRIUS. Europol confirmó que la filtración era real, pero afirmó que solo contenía información de la Plataforma para Expertos de Europol y SIRIUS, y que no contenía ninguna información operativa. ^{[ 30 ] [ 31 ]} IntelBroker anunció que aceptaría ofertas por los datos en Monero , ^{[ 32 ]} que se vendió el 11 de mayo. ^{[ 33 ]}

En junio de 2024, IntelBroker afirmó en X haber obtenido el código fuente de varias herramientas internas de Apple , incluyendo AppleConnect-SSO, Apple-HWE-Confluence-Advanced y AppleMacroPlugin, antes de publicarlo en BreachForums. Estas herramientas estaban relacionadas con procesos internos de Apple, como la autenticación de usuarios y el intercambio de información dentro de la red de Apple. ^{[ 34 ] [ 6 ]} Un análisis posterior reveló que el código filtrado no era código fuente, sino complementos para herramientas internas. Sin embargo, el código seguía representando un riesgo de seguridad y podría ser utilizado por terceros malintencionados. ^{[ 35 ] [ 36 ]}

El 17 de junio de 2024, IntelBroker afirmó en BreachForums que había vulnerado la seguridad del gigante de semiconductores AMD y que estaba vendiendo los datos comprometidos. Las muestras que proporcionaron incluían datos sobre futuros productos, información de empleados, información de clientes, código fuente y registros financieros. ^{[ 37 ]} AMD contactó rápidamente a las fuerzas del orden para investigar la vulneración. ^{[ 38 ]} Poco después, AMD afirmó que la vulneración era de alcance limitado, que no afectaría al negocio e insinuó que no incluía información de empleados ni de clientes, lo que contradecía el informe inicial de The Cyber ​​Express. ^{[ 39 ]} Bloomberg correlacionó el ataque con una caída del 2,4 % en las acciones de AMD poco después de que se anunciara la vulneración. ^{[ 40 ]}

El 14 de octubre de 2024, se informó que IntelBroker y otro hacker llamado EnergyWeaponUser habían robado datos de Cisco . ^{[ 41 ]} El botín incluía el código fuente de Cisco de GitHub , GitLab y SonarQube , credenciales codificadas , archivos confidenciales, certificados SSL, claves privadas y públicas, tokens de API y depósitos de almacenamiento, tickets de Jira y compilaciones de Docker , así como códigos fuente de producción de Microsoft , AT&T , Bank of America , Barclays , Dignity Health y otras empresas. En respuesta, Cisco eliminó el acceso público a sus recursos de DevHub, pero afirmó que sus sistemas internos no habían sido vulnerados. ^{[ 42 ]} IntelBroker declaró a Hackread.com que tuvo acceso hasta el 18 de octubre mediante la explotación de un token JFrog. Para demostrar la legitimidad de su afirmación, IntelBroker publicó 2,9 de los 4,5 TB de datos en diciembre. ^{[ 43 ]}