El grupo de extorsión "Silent Ransom Group" está atacando bufetes de abogados y empresas de servicios profesionales en EE. UU. mediante ingeniería social y llamadas fraudulentas para robar datos sensibles. Tras engañar a los empleados para obtener acceso remoto, exfiltran información confidencial y exigen rescates agresivos en plazos muy cortos. El FBI y Mandiant advierten que el grupo ha evolucionado desde el ransomware tradicional hacia el robo de datos puro, utilizando incluso visitas presenciales para infiltrarse.

La banda de extorsión Silent Ransom Group está atacando activamente a bufetes de abogados y organizaciones de servicios profesionales de EE. UU. mediante ataques de ingeniería social que a menudo resultan en el robo de datos a pocas horas del contacto inicial, según un nuevo informe de la empresa de ciberseguridad Mandiant.

El informe se produce tras un aviso FLASH del FBI publicado la semana pasada advirtiendo que el Silent Ransom Group se dirigía a bufetes de abogados estadounidenses en ataques de ingeniería social e incluso robos de datos presenciales; Mandiant proporciona ahora detalles técnicos adicionales sobre cómo se llevan a cabo las intrusiones.

Mandiant afirma que el grupo de amenazas, rastreado como UNC3753, Luna Moth y Chatty Spider, atacó a docenas de organizaciones de los sectores legal, financiero y de servicios profesionales entre enero y mayo de 2026.

 

Mandiant advirtió que los bufetes de abogados siguen siendo objetivos especialmente atractivos porque almacenan grandes volúmenes de información confidencial de clientes y pueden sentirse presionados a resolver incidentes de extorsión para evitar daños reputacionales y regulatorios.

"Las firmas de servicios legales representan objetivos de alto valor para los actores de extorsión. Mantienen repositorios concentrados de archivos de transacciones de clientes extremadamente sensibles, planes de fusiones y adquisiciones, secretos comerciales de clientes e informes regulatorios corporativos", explica Mandiant [cloud.google.com].

"Los grupos de amenazas reconocen que las entidades legales están sujetas a una fuerte exposición reputacional y regulatoria, y pueden estar muy motivadas para resolver las situaciones de extorsión discretamente para proteger su prestigio profesional".

Los investigadores afirman que los ataques comienzan con correos electrónicos de phishing con temática de facturas desde cuentas de correo de consumidores. Estos correos no contienen enlaces ni adjuntos maliciosos, sino que sirven como precursor de llamadas telefónicas de seguimiento de atacantes que se hacen pasar por personal de TI corporativo.

La realización de ataques mediante llamadas de voz ha sido una táctica continua de estos actores de amenazas durante años, que ya utilizaron anteriormente en las campañas de ingeniería social BazarCall vinculadas a los ataques de ransomware Ryuk y Conti. Un ataque de phishing por llamada inversa (callback phishing) ocurre cuando los atacantes envían correos electrónicos de phishing aparentemente benignos que contienen señuelos alarmantes o relacionados con TI que incitan al destinatario a devolver la llamada a un número de teléfono adjunto.

En la campaña actual, el Silent Ransom Group se hace pasar por centros de asistencia de TI y convence a los empleados de unirse a sesiones de soporte remoto a través de Microsoft Teams, Zoom, Quick Assist o Microsoft Terminal Services.

Durante estas sesiones, los atacantes engañan al objetivo para que instale herramientas de monitoreo y gestión remota como AnyDesk, Zoho Assist, Bomgar o SuperOps, otorgándoles así el acceso inicial a la red corporativa.

Silent ransom group

Mandiant también descubrió dominios de phishing vinculados a la campaña que suplantan portales internos de TI utilizando patrones de nombres como:

<organización>-itdesk[.]com
<organización>-it[.]com
<organización>-helpdesk[.]com

Los investigadores afirman que los actores de amenazas también utilizan privnote[.]com, un servicio de mensajería autodestructible, para compartir enlaces de instalación y comandos con los objetivos durante las sesiones de soporte remoto. Según Mandiant, esta táctica ayuda a reducir los artefactos forenses dejados en los historiales del navegador o en los registros de chat corporativos.

Una vez dentro de una red, el grupo busca documentos legales y financieros confidenciales, incluidos contratos, registros fiscales, números de Seguridad Social y archivos de fusiones o adquisiciones. Los atacantes suelen dirigirse a plataformas de gestión de documentos y repositorios de almacenamiento en la nube antes de exfiltrar los datos utilizando herramientas como WinSCP o Rclone.

Mandiant afirma que la operación de extorsión es altamente agresiva, y que las demandas de rescate suelen llegar dentro de los 30 minutos posteriores a que los atacantes abandonen el entorno de la víctima.

"Estas cartas de extorsión altamente agresivas dan a las organizaciones un plazo de tres días para responder e iniciar las negociaciones del rescate. Si la organización víctima no responde, los actores de amenazas declaran que llamarán y enviarán correos electrónicos directamente a los empleados y clientes externos para alertarles sobre la brecha de datos", informa Mandiant.

"Las cartas de extorsión enfatizan explícitamente que la filtración comprometerá la confianza del cliente, provocará multas regulatorias sustanciales y sugerirán que los clientes externos demanden a la organización víctima por la mala gestión de los datos".

El informe también hace referencia al reciente aviso del FBI en el que las autoridades advirtieron que el Silent Ransom Group estaba atacando bufetes de abogados de EE. UU. con ataques de robo de datos presenciales.

Según el FBI, los atacantes suplantan al personal interno de TI a través de llamadas telefónicas y correos electrónicos, y luego intentan obtener acceso remoto o visitar físicamente las oficinas para "imagenar" computadoras o crear copias de seguridad mientras roban archivos secretamente.

Aunque Mandiant señaló que había evidencia forense limitada, los investigadores creen que estos ataques presenciales están probablemente vinculados a UNC3753 basándose en similitudes en los objetivos, los cronogramas y el comportamiento operativo.

El Silent Ransom Group ha estado activo al menos desde 2022, cuando formaba parte del sindicato de cibercrimen Ryuk y Conti.

Como se informó anteriormente, los actores de amenazas estuvieron vinculados a campañas de phishing por llamada inversa de BazarCall que proporcionaron el acceso inicial en los ataques de ransomware Conti y Ryuk.

Después de que el sindicato Conti cerrara en 2022, el grupo pasó a realizar operaciones independientes de robo de datos y extorsión bajo la marca Silent Ransom Group.

Los investigadores afirman que el grupo ya no depende del cifrado de ransomware tradicional y, en su lugar, se centra enteramente en la extorsión por robo de datos, en la que roban datos confidenciales y presionan a las víctimas para que paguen para evitar filtraciones.

Un informe independiente publicado esta semana por Resecurity [resecurity.com] encontró que la banda también está operando una infraestructura fast-flux para ocultar y proteger sus plataformas de filtración de datos.

El DNS fast flux es un método en el que los atacantes rotan constantemente las direcciones IP de un dominio a través de un gran grupo de dispositivos comprometidos para ocultar su infraestructura y hacer que las bajas o el bloqueo sean mucho más difíciles.

Según la empresa, la infraestructura utiliza direcciones IP residenciales en múltiples países y ISP para dificultar el cierre.

Resecurity afirmó que el sitio de filtraciones "business-data-leaks[.]com" del grupo y la infraestructura relacionada dependen de redes de proxies residenciales distribuidas por América Latina, Europa del Este, Asia Central, Medio Oriente y Asia. Los investigadores también vincularon la infraestructura con otros servicios y dominios relacionados con el cibercrimen.

Para defenderse de los ataques, tanto Mandiant como el FBI recomiendan implementar procedimientos de verificación estrictos para las interacciones de soporte de TI, limitar las herramientas de acceso remoto, aplicar MFA, restringir los dispositivos de almacenamiento USB y capacitar a los empleados para reconocer los intentos de phishing por voz.

Fuente:
BleepingComputer