Агенты вымогателей копировали данные в офисах юрфирм
Утёкшие переписки описывают операцию по вымогательству, которую с умеренной или высокой степенью уверенности связывают с Silent Ransom Group (SRG), также известной как Luna Moth, Chatty Spider и UNC3753. Основными целями были крупные юридические фирмы США. Группа использовала социальную инженерию и физический доступ, а не эксплуатацию уязвимостей или вредоносное ПО.
Социальная инженерия и доступ в офисы
Операторы звонили сотрудникам, представляясь работниками внутренней ИТ-службы, использовали фишинг с обратным вызовом и инфраструктуру с ИТ-тематикой, а также пытались назначать встречи с высокопоставленными сотрудниками. Затем сообщник, которого называли агентом, посещал офис жертвы под видом ИТ-помощника и копировал файлы на съёмный носитель. Одна из жертв подтвердила, что в офис в Нью-Йорке вошёл человек и скопировал данные на флеш-накопитель.
Операторы также обсуждали ПО для удалённого доступа и доменные имена, имитирующие домены компаний, в том числе названия, похожие на адреса ИТ- или сервисной инфраструктуры фирм. Списки целей включали управляющих партнёров, руководителей, генеральных юристов и партнёров, специализирующихся на кибербезопасности или защите конфиденциальности.
Вербовка агентов и обсуждавшиеся планы
Согласно перепискам, агентов набирали через обычные объявления о вакансиях, выдавали им поддельные документы, удостоверяющие личность в США, и управляли ими через каналы в Telegram. Сообщается, что группа поддерживала более 10 агентов, а координаторы следили за их деятельностью. Операторы также рассматривали внедрение в организации США фиктивных удалённых сотрудников с поддельными документами о квалификации.
В оперативных планах фигурировали слежка за целями и агентами, вербовка инсайдеров, видеозвонки с использованием дипфейков, сексуальное принуждение, похищения и вооружённое принуждение. При этом завершённых операций с применением дипфейков не задокументировано, как и связей с государственными акторами. В переписках также не зафиксировано применение уязвимостей CVE, шифровальщиков или развёртывание вредоносного ПО.
Предложение использовать стилер для USB-накопителей отклонили или пересмотрели. Для подготовки данных к передаче применялись учётные записи Google Drive и SSH-серверы. В переписке не обнаружили WinSCP или Rclone, хотя эти инструменты упоминались в связанных материалах ФБР. Операторы заявляли о значительных выплатах выкупа, но эти суммы не подтвердили. Они также обсуждали ребрендинг под названием Sleepless Threat и приобретение доступа к сетям, не связанного с SRG, чтобы меньше походить на эту группировку.
Среди мер защиты названы:
- проверка ИТ-запросов по каналам связи, отличным от исходного;
- ограничение использования съёмных носителей;
- контроль и мониторинг ПО для удалённого доступа;
- многофакторная аутентификация для внешнего доступа;
- обнаружение доменов-двойников;
- мониторинг исходящего трафика;
- сохранение журналов звонков, электронной почты и удалённых сеансов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
