Операторы шантажировали организации через легитимные программы удалённого доступа
Утёкшие файлы описывают русскоязычную операцию, вероятно связанную с линией Silent Ransom Group/Luna Moth, которую связывают с фишингом с обратным вызовом. Материалы охватывают активность с августа 2025 по сентябрь 2026 года. В сентябре 2026 года группа сменила название на Sleepless Threat и продолжила переговоры с жертвами. Файлы не подтверждают, что операторы и ранее называвшиеся участники SRG были одними и теми же людьми. Описанный метод шантажа основан на ручных действиях и не предполагает использования вредоносного ПО.
Звонки и сбор данных вручную
Операторы звонят сотрудникам, представляются работниками ИТ-отдела и сообщают о проблеме с информационной безопасностью. Затем они убеждают собеседников установить или открыть легитимное ПО для удалённого доступа, в первую очередь AnyDesk. После этого операторы вручную собирают данные и передают их в облачное хранилище. В файлах не обнаружено признаков использования шифровальщиков, фреймворка управления и контроля (C2) или специализированного вредоносного ПО для кражи данных.
Среди пострадавших упоминаются юридические фирмы и другие организации, оказывающие профессиональные услуги. Им отправляют образцы украденных данных и требования об оплате. Операторы также давят на жертв, требуя перенести переговоры в ProtonMail и SimpleX и ответить в сжатые сроки.
Планы физического воздействия и вербовки
В файлах описаны планы физического доступа к объектам и принуждения. Среди них имитация посетителей или курьеров, подкуп уборщиков, клонирование карт доступа и привлечение агентов для проникновения в здания. Другие обсуждавшиеся планы включают похищение и угрозы в адрес целей, шантаж с помощью компрометирующих материалов и внедрение оперативников в оборонные подрядные организации с использованием поддельных личностей и резюме. Группа также обсуждала вербовку военнослужащих вблизи военно-морских баз для получения конфиденциальной информации.
Эти действия представлены как планы или попытки. Файлы не подтверждают, что похищения, военная разведка или успешное внедрение в подрядные организации состоялись. По имеющимся данным, в полевых операциях участвовали от 10 до 15 агентов, базировавшихся в США. Они координировались через Telegram, а региональные группы были отделены от центрального чата. Сеть поддерживали поддельные документы, удостоверяющие личность, и набор через объявления о вакансиях. Агенты получали небольшие переводы или криптовалюту.
В группе также обсуждали перемещение оперативника из России через Мексику. Данные не подтверждают, что он пересёк границу США.
Утечка коммуникаций и меры наблюдения
Авторы отчёта рекомендуют отслеживать незапрошенные звонки с требованиями предоставить удалённый доступ, появление AnyDesk и других несанкционированных средств удалённого доступа вскоре после внешних звонков, а также массовую передачу данных с рабочих станций юридических или финансовых отделов в потребительские облачные хранилища.
В утёкших коммуникациях также обнаружили учётные данные и информацию о криптовалютных кошельках. В отчёте описаны случаи повторного использования кошельков и попытки скрыть происхождение средств с помощью криптовалютных сервисов и покупки недвижимости.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
