El grupo cibercriminal UNC3753 (también conocido como Luna Moth, Chatty Spider o Silent Ransom Group) ha lanzado una campaña agresiva contra bufetes de abogados en Estados Unidos desde principios de 2026. Para infiltrarse en los sistemas corporativos y robar archivos confidenciales, utilizan tácticas de vishing (llamadas telefónicas), trucos de pantalla compartida y software de monitoreo remoto (RMM).

Un sofisticado grupo de cibercriminales conocido como UNC3753 ha estado llevando a cabo una agresiva campaña contra bufetes de abogados de EE. UU. desde principios de 2026, utilizando llamadas telefónicas, trucos de pantalla compartida y software de monitoreo remoto para irrumpir en sistemas corporativos y robar archivos confidenciales.

El grupo también es rastreado como Luna Moth, Chatty Spider y Silent Ransom Group, y ha estado activo desde al menos marzo de 2022. Su última oleada ocurrió entre enero y mayo de 2026 y afectó a docenas de organizaciones en los sectores legal, profesional y de servicios financieros.

Lo que hace que esta campaña sea alarmante es la rapidez con la que se mueve. En muchos casos, los atacantes pasaron de la primera llamada telefónica al robo real de datos en un solo día laboral. En algunos incidentes, la búsqueda, preparación y exfiltración de archivos se completó en menos de una hora.

El grupo no depende del malware tradicional, sino que se dirige a las personas directamente a través de llamadas de voz convincentes.

Analistas de Google Cloud dijeron en un informe que UNC3753 comienza los ataques con correos electrónicos sencillos con temática de facturas enviados desde cuentas de consumidores.

Estos mensajes no contienen enlaces ni archivos adjuntos. Su único propósito es sembrar la preocupación en la mente del destinatario, haciendo que sea más probable que responda a una llamada de seguimiento de alguien que se hace pasar por el personal del servicio de asistencia técnica de TI.

Los bufetes de abogados poseen información altamente sensible, incluidos planes de fusión, archivos de clientes, secretos comerciales e informes regulatorios. Los atacantes saben que las firmas que enfrentan presiones reputacionales pueden optar por pagar en silencio en lugar de arriesgarse a una exposición pública. Ese cálculo impulsa todo el modelo de extorsión.

La fase de extorsión comienza casi inmediatamente después del robo. A los 30 minutos de salir del entorno de la víctima, el grupo envía un correo electrónico amenazante exigiendo una respuesta en un plazo de tres días.

Si se ignora, amenazan con contactar a empleados, clientes y a los medios de comunicación, y publicar los archivos robados en un sitio de filtración de datos llamado LEAKEDDATA.

UNC3753 Atacando Bufetes de Abogados de EE. UU.

El método de entrada del grupo se basa en suplantar al personal de soporte de TI de la empresa. Los atacantes buscan detalles de empleados publicados públicamente en los sitios web de la empresa y luego llaman a esas personas directamente.

Durante la llamada, afirman solucionar un problema de seguridad o ayudar con un proyecto de migración de datos, ganando confianza antes de dirigir a la víctima a una sesión de pantalla compartida.

Una vez activa la pantalla compartida, el atacante guía a la víctima para que descargue herramientas de acceso remoto. UNC3753 ha utilizado AnyDesk, Bomgar, Zoho Assist y un agente de SuperOps RMM en diferentes intervenciones.

Para evitar dejar rastros, envían los enlaces de instalación a través de Privnote, una herramienta de texto autodestructible que borra los mensajes una vez leídos.

En varios casos, los atacantes accedieron a entornos de escritorios virtuales corporativos a través de computadoras portátiles BYOD utilizando Windows 365 o clientes de Citrix.

Desde allí, buscaron en sistemas como iManage registros fiscales, números de Seguro Social y acuerdos legales, y luego prepararon los archivos en la carpeta de descargas antes de exfiltrarlos.

Las organizaciones deberían entrenar a su personal para verificar las llamadas de TI de forma independiente, restringir la instalación de herramientas de acceso remoto y aplicar MFA en los repositorios de documentos.

Exfiltración de Datos e Intrusión Física

Una vez que los archivos están preparados, UNC3753 los mueve a través de varios métodos. Han utilizado WinSCP portátil y Rclone para transferencias masivas, o han iniciado sesión directamente en el almacenamiento en la nube dentro del navegador de la víctima.

En un incidente, el grupo movió 1.7 gigabytes a una cuenta de Google Drive antes de pivotar a una sesión de VDI y exfiltrar otros 14.4 gigabytes utilizando WinSCP.

Más allá de los ataques digitales, personas vinculadas a UNC3753 han entrado físicamente en oficinas corporativas haciéndose pasar por técnicos de TI, una táctica corroborada por una Alerta Cyber FLASH del FBI.

Estos actores afirman crear imágenes de dispositivos y copiar datos a unidades USB antes de irse. Deshabilitar el almacenamiento USB en todos los endpoints y sistemas BYOD es un control crítico para bloquear esta amenaza física.

Las organizaciones deben monitorear el tráfico SSH y las transferencias salientes para detectar picos inusuales, y configurar alertas en tiempo real en las plataformas de documentos para descargas masivas.

Los dominios de phishing utilizados por este grupo siguen patrones como organización-itdesk.com y organización-helpdesk.com, que pueden bloquearse a nivel de DNS. La verificación de visitantes físicos, incluyendo el registro de identificación y el acompañamiento obligatorio del personal técnico, debe aplicarse sin excepción.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están intencionadamente desarmados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.