El grupo de amenazas UNC3753 ha lanzado una campaña de extorsión dirigida a organizaciones financieras y legales en EE. UU. utilizando vishing e ingeniería social. Los atacantes engañan a las víctimas para obtener acceso remoto o incluso acceden físicamente a las oficinas simulando ser técnicos de soporte. Finalmente, roban datos confidenciales y exigen rescates bajo la amenaza de publicar la información robada.

Investigadores de ciberseguridad han revelado detalles de una campaña de extorsión y robo de datos con fines lucrativos que ha afectado a decenas de organizaciones de servicios profesionales, legales y financieros en los EE. UU. entre enero y mayo de 2026.

La actividad ha sido atribuida por Google Mandiant y el Google Threat Intelligence Group (GTIG) a un actor de amenazas denominado UNC3753, también conocido como Chatty Spider, Luna Moth y Silent Ransom Group (SRG).

"UNC3753 utiliza vishing (phishing de voz) y técnicas de engaño de ingeniería social para lograr el acceso remoto a entornos corporativos", afirmaron los investigadores Chad Reams, Tufail Ahmed, Keith Knapp, Ashley Frazer y Tyler McLellan aquí.

"Utilizando pretextos como la migración de datos o correos electrónicos relacionados con facturas, los actores de amenazas inician conversaciones telefónicas haciéndose pasar por soporte técnico de TI y convencen a las víctimas para que realicen sesiones de pantalla compartida y descarguen utilidades de monitoreo y gestión remota (RMM)".

Al obtener el acceso, se ha descubierto que los atacantes realizan búsquedas directas para localizar y exfiltrar archivos de interés o engañan a la víctima para que realice las acciones en su nombre. La información robada incluye acuerdos legales patentados, información de identificación personal (PII) y registros financieros. En algunos casos, los atacantes han accedido a los sistemas de las víctimas en persona, haciendo eco de un aviso emitido por la Oficina Federal de Investigación (FBI) de los EE. UU. el mes pasado. Estas intrusiones físicas implican que los atacantes se hacen pasar por técnicos de TI para entrar en las oficinas corporativas e intentar robar datos mediante medios USB extraíbles.

"Al enviar a alguien en persona a la ubicación de la víctima para facilitar la intrusión, los actores de SRG exfiltran datos a un disco duro externo o unidad USB insertada por el atacante en el ordenador de la víctima", señaló el FBI sobre la nueva escalada de capacidades de UNC3753.

Google afirmó que UNC3753 comparte similitudes tácticas con UNC2686, un grupo de amenazas conocido anteriormente por llevar a cabo campañas al estilo de BazarCall en 2021. Aunque se ha observado al grupo desplegando el ransomware LockBit Black en el pasado, desde 2022 se ha centrado principalmente en operaciones de solo extorsión, presionando a las víctimas para que paguen o se arriesguen a que sus datos se publiquen en el sitio de filtraciones LEAKEDDATA.

Tanto UNC3753 como UNC2686 se consideran ramificaciones de la ahora desaparecida banda de ransomware Conti, y las primeras iteraciones de las campañas utilizaban engaños de cancelación de suscripciones como parte de ataques de phishing de devolución de llamada para instalar software de acceso remoto en las máquinas de las víctimas.

métodos de ataque y persistencia

A partir de marzo de 2025, el grupo de hackers ha suplantado al personal interno del centro de ayuda de TI de las empresas para engañar a las víctimas y lograr que se unan a una sesión de pantalla compartida en plataformas de comunicación empresarial como Zoom, Microsoft Teams o Quick Assist, saltándose así los controles de seguridad tradicionales.

"El grupo de amenazas frecuentemente inicia las campañas utilizando señuelos de correo electrónico benignos con temática de facturas enviados desde cuentas de correo de consumidores controladas por el actor", dijo Google. "Estos mensajes no contienen enlaces activos ni adjuntos maliciosos. En su lugar, suelen contener un mensaje breve y genérico. El propósito principal de estos correos es establecer un pretexto, elevando las preocupaciones de seguridad interna de la víctima para que sea más susceptible a las llamadas de voz posteriores".

Una vez establecida la sesión, los atacantes intentan conseguir un acceso persistente guiando a las víctimas para que instalen software de escritorio remoto legítimo como AnyDesk, Bomgar, SuperOps RMM o Zoho Assist. Las instrucciones para instalar estos programas se comparten a través de un servicio legítimo llamado "privnote[.]com aquí", que permite a los usuarios enviar notas que se autodestruyen después de ser leídas.

También se ha observado a UNC3753 estableciendo sesiones de Zoom directamente en los portátiles personales de las víctimas para acceder a la infraestructura de escritorio virtual (VDI) corporativa y profundizar en los sistemas de archivos, con el objetivo de enumerar directorios locales y en la nube, rastrear unidades de red mapeadas y recolectar datos de carpetas altamente sensibles, incluidas aquellas relacionadas con declaraciones fiscales, auditorías, acuerdos de clientes corporativos y números de Seguridad Social (SSN).

En la etapa final, los datos capturados se envían a los atacantes a través de WinSCP o Rclone, o a direcciones de correo electrónico controladas por el actor desde el buzón de la víctima. A esto le sigue el envío de una demanda de extorsión en forma de mensaje de correo electrónico, normalmente dentro de los 30 minutos posteriores a la salida del entorno de la víctima.

Los mensajes de correo electrónico dan a las víctimas un plazo de tres días para iniciar las negociaciones del rescate. También amenazan con llamar y escribir directamente a los empleados y clientes externos para notificarles la brecha de datos si no responden, además de publicar toda la información robada en el sitio de filtraciones.

"Las firmas de servicios legales representan objetivos de alto valor para los actores de extorsión. Mantienen repositorios concentrados de archivos de transacciones de clientes extremadamente sensibles, planes de fusiones y adquisiciones, secretos comerciales de clientes e informes regulatorios corporativos", afirmó Google.

"Los grupos de amenazas reconocen que las entidades legales están sujetas a una fuerte exposición reputacional y regulatoria, y pueden estar muy motivadas para resolver las situaciones de extorsión discretamente para proteger su prestigio profesional. Los atacantes saben que atacar el elemento humano —específicamente utilizando ingeniería social guiada por voz— les permite saltarse fácilmente perímetros técnicos robustos, pasarelas de seguridad web y configuraciones de MFA".

Fuente:
THN