Группировка Silent Ransom Group крадёт данные под видом ИТ-поддержки

Silent Ransom Group (SRG), также известная как Luna Moth, Chatty Spider и UNC3753, занимается кражей данных и вымогательством как минимум с 2022 года. С весны 2023 года группа целенаправленно атакует юридические фирмы в США, а также организации из других отраслей. Вместо традиционных программ-вымогателей SRG делает упор на быстрое получение доступа и кражу данных, угрожая публично раскрыть или продать похищенную информацию.

Для получения доступа SRG использует социальную инженерию и выдаёт себя за сотрудников ИТ-отдела жертвы. Злоумышленники связываются с сотрудниками по телефону, электронной почте или через голосовые сообщения и убеждают их позвонить по поддельному номеру службы ИТ-поддержки. Во время разговора они предлагают сотруднику одобрить или начать сеанс удалённого рабочего стола, обычно с помощью легитимного программного обеспечения для удалённого доступа.

Если установить удалённый доступ не удаётся, злоумышленник может лично прийти в организацию и попросить доступ к компьютеру. Он может заявить, что ему нужно создать резервную копию или образ устройства для устранения проблемы, вызванной фишинговым письмом. Получив доступ к компьютеру, злоумышленник может напрямую подключить USB-накопитель или другое устройство хранения данных.

После проникновения SRG обычно ограничивается повышением привилегий и отдаёт приоритет быстрой краже данных, а не их шифрованию. Для передачи файлов на внешнюю инфраструктуру группа использовала WinSCP и скрытые или переименованные версии Rclone. Данные также могут перемещаться во внутренние или облачные сервисы обмена файлами, в том числе Google Drive и Microsoft OneDrive. При личном проникновении на объект файлы могут копироваться на внешний жёсткий диск или USB-накопитель.

В качестве потенциальных индикаторов активности SRG можно рассматривать:

• соединения WinSCP или Rclone с внешними IP-адресами;
• непредвиденные массовые передачи данных;
• несанкционированную активность средств удалённого доступа;
• подозрительных людей, заявляющих, что они оказывают техническую поддержку.

Организациям следует сохранять следующие материалы:

• требования выкупа;
• фишинговые электронные письма;
• номера телефонов и голосовые сообщения;
• переписку;
• данные криптографических кошельков;
• физические свидетельства, например записи с камер видеонаблюдения или фотографии.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.