Группа, занимающаяся вымогательством, атакует юридические фирмы, рассылая фальшивые звонки в службу технической поддержки.

[zender]

Согласно новому отчету компании Mandiant, специализирующейся на кибербезопасности, группа вымогателей Silent Ransom Group активно атакует американские юридические фирмы и организации, предоставляющие профессиональные услуги, используя методы социальной инженерии, которые часто приводят к краже данных в течение нескольких часов после первого контакта.


Этот отчет появился после опубликованного на прошлой неделе экстренного предупреждения ФБР о том, что группа «Тихий выкуп» нацелена на американские юридические фирмы, используя методы социальной инженерии и даже осуществляя кражу данных при личном контакте. Компания Mandiant теперь предоставляет дополнительные технические подробности о том, как проводятся эти атаки.


По данным компании Mandiant, группа киберпреступников, отслеживаемая под названиями UNC3753, Luna Moth и Chatty Spider, атаковала десятки организаций в юридическом, финансовом и профессиональном секторах в период с января по май 2026 года.

Компания Mandiant предупредила, что юридические фирмы остаются особенно привлекательными целями, поскольку они хранят большие объемы крайне конфиденциальной информации о клиентах и могут испытывать давление, вынуждающее их урегулировать случаи вымогательства, чтобы избежать ущерба репутации и соблюдению нормативных требований.


«Юридические фирмы представляют собой высокодоходные цели для мошенников. Они хранят в больших объемах крайне конфиденциальные файлы по сделкам с клиентами, планы слияний и поглощений, коммерческую тайну клиентов и корпоративные отчеты для регулирующих органов», — поясняет Mandiant .


«Группировки, занимающиеся вымогательством, понимают, что юридические лица подвержены серьезному репутационному и регуляторному риску и могут быть крайне заинтересованы в разрешении ситуаций с вымогательством втайне, чтобы защитить свой профессиональный статус».


Исследователи утверждают, что атаки начинаются с фишинговых писем, похожих на счета-фактуры, рассылаемых с почтовых ящиков потребителей. Эти письма не содержат вредоносных ссылок или вложений и служат лишь прелюдией к последующим телефонным звонкам от злоумышленников, выдающих себя за сотрудников ИТ-отдела корпорации.


Атаки посредством голосовых звонков — это тактика, которую злоумышленники используют уже много лет. Ранее они применяли её в кампаниях социальной инженерии BazarCall, связанных с атаками программ-вымогателей Ryuk и Conti. Фишинговая атака с обратным звонком — это когда злоумышленники рассылают безобидные на вид фишинговые электронные письма, содержащие тревожные или связанные с ИТ-технологиями приманки, которые побуждают получателя перезвонить по указанному номеру телефона.


В рамках текущей кампании группа «Тихий выкуп» выдает себя за службы технической поддержки и убеждает сотрудников подключаться к сеансам удаленной поддержки через Microsoft Teams, Zoom, Quick Assist или Microsoft Terminal Services.


В ходе этих сеансов злоумышленники обманом заставляют жертву установить инструменты удаленного мониторинга и управления, такие как AnyDesk, Zoho Assist, Bomgar или SuperOps, тем самым предоставляя себе первоначальный доступ к корпоративной сети.

Схема атаки группы «Тихий выкуп»

Компания Mandiant также обнаружила фишинговые домены, связанные с этой кампанией, которые имитируют внутренние ИТ-порталы, используя такие шаблоны именования, как:


&lt;organization&gt;-itdesk[.]com<br>&lt;organization&gt;-it[.]com<br>&lt;organization&gt;-helpdesk[.]com

Исследователи утверждают, что злоумышленники также используют privnote[.]com, самоуничтожающийся сервис обмена сообщениями, для передачи ссылок и команд установки жертвам во время сеансов удаленной поддержки. По данным Mandiant, эта тактика помогает уменьшить количество следов, остающихся в истории браузера или журналах корпоративных чатов.


Проникнув в сеть, группа злоумышленников ищет конфиденциальные юридические и финансовые документы, включая контракты, налоговые декларации, номера социального страхования, а также файлы, касающиеся слияний и поглощений. Злоумышленники обычно выбирают в качестве цели платформы управления документами и облачные хранилища, после чего похищают данные с помощью таких инструментов, как WinSCP или Rclone.


По словам представителей компании Mandiant, операция по вымогательству носит крайне агрессивный характер, и требования о выкупе часто поступают в течение 30 минут после того, как нападавшие покидают место происшествия.


«В этих крайне агрессивных письмах с требованием выкупа организациям дается три дня на ответ и начало переговоров о выкупе. Если организация-жертва не отвечает, злоумышленники заявляют, что позвонят и напишут по электронной почте сотрудникам и внешним клиентам, чтобы сообщить им об утечке данных», — сообщает Mandiant.


«В письмах с угрозами вымогательства прямо подчеркивается, что утечка подорвет доверие клиентов, повлечет за собой значительные штрафы со стороны регулирующих органов и предполагает, что внешние клиенты подадут в суд на организацию-жертву за ненадлежащее обращение с данными».


В отчете также упоминается недавнее предупреждение ФБР, в котором правоохранительные органы предупредили, что группа «Тихий выкуп» целенаправленно атакует американские юридические фирмы, совершая личные атаки с целью кражи данных .


По данным ФБР, злоумышленники выдают себя за сотрудников ИТ-отдела компании по телефону и электронной почте, а затем пытаются получить удаленный доступ или физически посетить офисы, чтобы «скопировать» образы компьютеров или создать резервные копии, тайно похищая при этом файлы.


Хотя компания Mandiant заявила об ограниченности судебно-медицинских доказательств, исследователи полагают, что эти нападения с личным участием, вероятно, связаны с UNC3753, исходя из сходства в целях, хронологии и оперативном поведении.


Группа «Тихий выкуп» действует как минимум с 2022 года, когда она входила в состав киберпреступного синдиката «Рюк» и «Конти».


Как ранее сообщал BleepingComputer, злоумышленники ранее были связаны с фишинговыми кампаниями BazarCall, в рамках которых осуществлялся первоначальный доступ к системам-вымогателям Conti и Ryuk.


После закрытия синдиката Conti в 2022 году группа перешла к самостоятельным операциям по краже данных и вымогательству под брендом Silent Ransom Group.


Исследователи утверждают, что группа больше не полагается на традиционное шифрование с помощью программ-вымогателей и вместо этого полностью сосредоточилась на вымогательстве с целью кражи данных, в ходе которого они похищают конфиденциальную информацию и оказывают давление на жертв, требуя выкуп для предотвращения утечек.


В отдельном отчете, опубликованном на этой неделе изданием Resecurity, говорится, что эта группировка также использует быстро меняющуюся инфраструктуру для сокрытия и защиты своих платформ, предназначенных для утечки данных.


DNS fast flux — это метод, при котором злоумышленники постоянно меняют IP-адреса домена, используя большой пул скомпрометированных устройств, чтобы скрыть свою инфраструктуру и значительно затруднить блокировку или удаление домена.


По данным компании, инфраструктура использует IP-адреса частных лиц в разных странах и у разных интернет-провайдеров, чтобы затруднить её закрытие.


Компания Resecurity заявила, что сайт утечек данных группы "business-data-leaks[.]com" и связанная с ним инфраструктура используют сети резидентных прокси-серверов, распространенные в Латинской Америке, Восточной Европе, Центральной Азии, на Ближнем Востоке и в Азии. Исследователи также связали эту инфраструктуру с другими сервисами и доменами, связанными с киберпреступностью.


Для защиты от атак как Mandiant, так и ФБР рекомендуют внедрить строгие процедуры проверки при взаимодействии с ИТ-поддержкой, ограничить использование инструментов удаленного доступа, ввести многофакторную аутентификацию, ограничить использование USB-накопителей и обучить сотрудников распознавать попытки голосового фишинга.