Юридическая отрасль США столкнулась с серьёзным вызовом в сфере информационной безопасности. Группа вымогателей, известная как Silent Ransom Group (группировка, занимающаяся кражей данных и шантажом), на протяжении нескольких лет целенаправленно атакует фирмы, входящие в рейтинг AmLaw 100. В отличие от классических операторов программ-вымогателей, SRG не шифрует файлы. Её главный инструмент - похищение конфиденциальной информации с последующим шантажом. Теперь у SRG появился ещё один опасный козырь.
Описание
Специалисты компании Resecurity, занимающейся расследованиями киберугроз, обнаружили у Silent Ransom Group современную технику сокрытия инфраструктуры. Речь идёт о методе Fast Flux (технология быстрой смены IP-адресов на DNS-серверах с помощью сети заражённых устройств). Группировка использует заражённые домашние роутеры и модемы по всему миру, чтобы спрятать свои настоящие серверы за постоянно меняющимся набором легитимных IP-адресов. Такая тактика делает блокировку сайтов утечек данных крайне сложной задачей для правоохранительных органов.
Инфраструктура SRG построена на двух доменах, которые одновременно вращают пул из двух десятков скомпрометированных устройств. Половина этих устройств находится в Латинской Америке. Среди стран, где расположены узлы ботнета, фигурируют Бразилия, Мексика, Аргентина, Эквадор, а также Болгария, Хорватия, Узбекистан, Египет и Южная Корея. Анализ показал, что каждые две-три минуты адреса полностью обновляются, что не оставляет специалистам по безопасности времени на ручную реакцию.
Главная цель атак - крупные юридические фирмы. Почему они стали приоритетом? Юристы хранят информацию, которую называют "коронными драгоценностями" бизнеса. Это условия сделок, детали судебных исков, персональные данные клиентов и интеллектуальная собственность. Утечка такой информации способна разрушить репутацию компании за считанные часы. Злоумышленники SRG прекрасно понимают уязвимость этого сектора. Они оказывают на жертв такое сильное давление, что те часто предпочитают заплатить выкуп, а не рисковать оглаской.
Особенность группировки - нетипичный для вымогателей выбор площадки для публикации похищенных данных. Большинство аналогичных банд используют даркнет и сеть Tor, чтобы скрыть свои следы. Silent Ransom Group, напротив, публикует данные в открытом интернете (clearnet). Мотивация проста: так к сайту утечки могут обратиться не только технически подкованные журналисты, но и любой клиент фирмы, репортёр или регулирующий орган. Это многократно усиливает репутационный ущерб.
Инфраструктура сайта утечки данных построена с применением довольно изощрённых методов. Например, для предотвращения автоматического скачивания файлов злоумышленники внедрили механизм, копирующий работу межсетевых экранов для веб-приложений. Посетители получают уникальный идентификатор сессии, который перенаправляет их на конкретную папку с данными. Прямые ссылки на файлы скрыты, что серьёзно затрудняет работу автоматических анализаторов.
Аналитики также обнаружили связь группировки SRG с другим проектом под названием Spy Corporate. Он появился в мае 2026 года. Общий пул заражённых устройств, одинаковая регистрация доменов и схожие механизмы авторизации подтверждают, что это одна и та же команда. Сайт Spy Corporate также использует Fast Flux и публикует данные похищенных юрфирм, что указывает на планомерное расширение преступного бизнеса.
Важно отметить, что регуляторы уже обратили внимание на эту угрозу. Ещё в прошлом году Агентство национальной безопасности США (АНБ), ФБР и Центр кибербезопасности Австралии выпустили совместное предупреждение, назвав технологию Fast Flux угрозой национальной безопасности. Однако, несмотря на громкие заявления, группировка продолжает действовать.
По состоянию на начало июня 2026 года сайт утечки данных Silent Ransom Group уже содержал информацию почти о сотне пострадавших организаций. Список регулярно пополняется. В зону риска помимо юристов попадают бухгалтерские и аудиторские компании, а также страховые фирмы. Все они работают с объёмами данных, которые злоумышленники могут монетизировать максимально быстро.
Проблема усугубляется тем, что SRG активно использует методы социальной инженерии. Для проникновения в сети жертв они нередко применяют физическое проникновение, отправляя подставных "специалистов технической поддержки" прямо в офисы. Второй популярный вектор - атаки на цепочки поставок через уязвимых подрядчиков. Таким образом, закрыть все потенциальные пути проникновения стандартными средствами крайне трудно. Для эффективного противодействия требуется координация усилий на уровне интернет-провайдеров и центров мониторинга информационной безопасности (SOC, центры, занимающиеся выявлением и реагированием на кибератаки).
Индикаторы компрометации
IPv4
- 123.214.62.28
- 130.204.1.83
- 159.0.229.102
- 161.132.94.226
- 177.222.41.236
- 179.52.106.82
- 186.101.193.110
- 186.23.249.254
- 187.199.140.132
- 187.228.100.237
- 189.195.132.134
- 190.140.81.252
- 190.147.128.172
- 190.147.200.151
- 190.16.5.248
- 190.224.203.37
- 190.249.139.21
- 195.158.3.172
- 197.134.192.101
- 197.44.54.74
- 201.191.99.134
- 211.202.224.10
- 212.112.110.243
- 63.143.98.185
- 95.178.198.144
- 95.178.213.100
- 95.86.30.3
Domains
- _.www.omerta.cc
- _bimi.cvv-union.at
- _bimi.omerta.cc
- _crl._tcp.omerta.cc
- _dmarc.cvv-union.at
- _dmarc.mywebb.at
- _dmarc.omerta.cc
- _dnss._udp.omerta.cc
- _h323cs._udp.omerta.cc
- _kerberos-master._tcp.omerta.cc
- _msdcs.omerta.cc
- _mta-sts.cvv-union.at
- _mta-sts.omerta.cc
- _sip-tls._tcp.omerta.cc
- _smb._tcp.omerta.cc
- _stun._tcp.omerta.cc
- _tcp.dc._msdcs.omerta.cc
- _tcp.omerta.cc
- _turns._udp.omerta.cc
- _udp.omerta.cc
- _vnc._tcp.omerta.cc
- 100xmargin.com
- 192204-coinbase.com
- 1xst.ru
- 2.cvv-union.at
- 4nhaarmgex.com
- 952cd7f5-55c2-472f-bc9d-08487ef75661.random.aoptical.omerta.cc
- ab.omerta.cc
- abqnurbs.omerta.cc
- acdc.omerta.cc
- acesam.omerta.cc
- adaudit.omerta.cc
- adcollective.omerta.cc
- addrea.omerta.cc
- addressing.omerta.cc
- admin.admin.admin.admin.admin.cvv-union.at
- admin.admin.admin.admin.admin.hostmaster.omerta.cc
- admin.admin.admin.admin.admin.omerta.cc
- admin.admin.admin.admin.admin.union-shop.at
- admin.admin.admin.admin.admin.www.cvv-union.at
- admin.admin.admin.admin.admin.www.omerta.cc
- admin.admin.admin.admin.admin.www.union-shop.at
- admin.admin.admin.admin.cvv-union.at
- admin.admin.admin.admin.hostmaster.omerta.cc
- admin.admin.admin.admin.omerta.cc
- admin.admin.admin.admin.union-shop.at
- admin.admin.admin.admin.www.cvv-union.at
- admin.admin.admin.admin.www.omerta.cc
- admin.admin.admin.admin.www.union-shop.at
- admin.admin.admin.cvv-union.at
- admin.admin.admin.hostmaster.omerta.cc
- admin.admin.admin.omerta.cc
- admin.admin.admin.union-shop.at
- admin.admin.admin.www.cvv-union.at
- admin.admin.admin.www.omerta.cc
- admin.admin.admin.www.union-shop.at
- admin.admin.cvv-union.at
- admin.admin.hostmaster.omerta.cc
- admin.admin.omerta.cc
- admin.admin.union-shop.at
- admin.admin.www.cvv-union.at
- admin.admin.www.omerta.cc
- admin.admin.www.union-shop.at
- admin.cvv-union.at
- admin.hostmaster.omerta.cc
- admin.mywebb.at
- admin.omerta.cc
- admin.union-shop.at
- admin.www.cvv-union.at
- admin.www.omerta.cc
- admin.www.union-shop.at
- aedwardes.omerta.cc
- aedweb.omerta.cc
- afc.omerta.cc
- afcwimbledon.omerta.cc
- airwave.mywebb.at
- algorithms.omerta.cc
- alizee.omerta.cc
- amb.omerta.cc
- amberleycastle.omerta.cc
- amember.omerta.cc
- amse.omerta.cc
- ancweb.omerta.cc
- annona.omerta.cc
- antigaspi.omerta.cc
- aoptical.omerta.cc
- api.mywebb.at
- api.tg-auth.com
- app.business-data-leaks.com
- app.defgyma.com
- app.ep6pheij.com
- app.mywebb.at
- apprenticerecordmanager.omerta.cc
- apps.mywebb.at
- apthompson.omerta.cc
- arculufi.com
- arculus.in
- arculusdefi.com
- arculushub.com
- arculusupgrade.net
- arculusupport.com
- arnaud.omerta.cc
- arosetintedworld.omerta.cc
- artsetmetiers.omerta.cc
- ashleyford.omerta.cc
- assets.ep6pheij.com
- assises.omerta.cc
- at.ru.covcdxlp.omerta.cc
- at-m-login-init-org-ssl-ymnoygde.omerta.cc
- b.wzyeirrg.omerta.cc
- baiakmma.com
- bbs.tg-auth.com
- bchfr.omerta.cc
- benfoks.ru
- bipto.org
- bitrix.tg-auth.com
- bitwinzz.com
- blackshift.omerta.cc
- blog.omerta.cc
- booksandsongs.at
- bug6skv6dw.com
- business-data-leaks.com
- ca.production.uk.production.online.puagjosn.omerta.cc
- cajgtus.com
- cambium.mywebb.at
- cellc.org
- check-ftp.ru
- clearpass.mywebb.at
- cms.support.at.ru.covcdxlp.omerta.cc
- corum.omerta.cc
- covcdxlp.omerta.cc
- crypto.omerta.cc
- cvv-union.at
- dbfhns.in
- dc._msdcs.omerta.cc
- default._bimi.cvv-union.at
- default._bimi.omerta.cc
- defgyma.com
- demo.business-data-leaks.com
- demo.mywebb.at
- dev.mywebb.at
- development.tg-auth.com
- djnkywww.ww.omerta.cc
- d-s-p.ru
- dwww.omerta.cc
- ep6pheij.com
- epohe.ru
- exclusively.omerta.cc
- formplm.omerta.cc
- frixes.life
- ftp.mzxn.ru
- gebeus.ru
- globalviewer.omerta.cc
- guteyr.cc
- gwwgezulma.omerta.cc
- hcw2wytgpo.com
- help.business-data-leaks.com
- helpsscodds.in
- hostmaster.omerta.cc
- hotspot.mywebb.at
- hwhimshop.cvv-union.at
- id.business-data-leaks.com
- imap.omerta.cc
- iscapsolutions.omerta.cc
- jkshb.su
- kttcoadmin.admin.admin.admin.www.cvv-union.at
- liverds.at
- llcbc.org
- login.cvv-union.at
- login.mywebb.at
- lpclusertreyls.com
- mail.business-data-leaks.com
- mail.cvv-union.at
- mail.obozintsev.ru
- mail.omerta.cc
- mail.sktice.com
- mail.spycorp.pro
- member.business-data-leaks.com
- mencap.omerta.cc
- meraki.mywebb.at
- morfiuscc.pro
- movlat.com
- mywebb.at
- mzxn.ru
- net-sub-r-family-account-my-ffojjfdq.omerta.cc
- newolymp.ru
- nhyqgdwww.omerta.cc
- niksplus.ru
- ns2.omerta.cc
- nwgrus.ru
- oa.omerta.cc
- obozintsev.ru
- of.b.wzyeirrg.omerta.cc
- offshore.omerta.cc
- olihonols.in.net
- omada.mywebb.at
- omah.cvv-union.at
- omerta.cc
- onioploverans.at
- online.puagjosn.omerta.cc
- owrbflogin.cvv-union.at
- pc.ca.production.uk.production.online.puagjosn.omerta.cc
- portal.ep6pheij.com
- portal.mywebb.at
- ppls.of.b.wzyeirrg.omerta.cc
- production.online.puagjosn.omerta.cc
- production.uk.production.online.puagjosn.omerta.cc
- proxy-host.omerta.cc
- puagjosn.omerta.cc
- qiweassa.com
- random.aoptical.omerta.cc
- random.monge.omerta.cc
- random.westonturville.omerta.cc
- ru.covcdxlp.omerta.cc
- ruckuscontroller.mywebb.at
- scandikitchen.omerta.cc
- school.tg-auth.com
- sdfjhuz.com
- selltix.org
- server-online-a-dev-free-metric-ru-onkjmmtl.omerta.cc
- signup.cvv-union.at
- sktice.com
- smb.omerta.cc
- smtp.omerta.cc
- spycorp.pro
- stage.vpn.cms.support.at.ru.covcdxlp.omerta.cc
- staging.cvv-union.at
- staging.mywebb.at
- support.at.ru.covcdxlp.omerta.cc
- support.omerta.cc
- swarm.omerta.cc
- tcao.omerta.cc
- tech-servers.in.net
- temir.omerta.cc
- test.mywebb.at
- testmobile.omerta.cc
- tg-auth.com
- tisv6ma68f.com
- tnc-corp.ru
- toners.omerta.cc
- trafix.omerta.cc
- trom.omerta.cc
- tucs.omerta.cc
- tuuut.omerta.cc
- tx.omerta.cc
- ubs.omerta.cc
- ucr.omerta.cc
- uds.omerta.cc
- uipiqbchfr.omerta.cc
- uk.production.online.puagjosn.omerta.cc
- unbee.omerta.cc
- unicea.ws
- unifi.mywebb.at
- union-shop.at
- unleashed.mywebb.at
- uvblswww.staging.cvv-union.at
- vari.omerta.cc
- veiv.omerta.cc
- vplesk.omerta.cc
- vpn.cms.support.at.ru.covcdxlp.omerta.cc
- vpnt.omerta.cc
- vprh.omerta.cc
- vsi.omerta.cc
- vx.omerta.cc
- vxuexadmin.admin.omerta.cc
- weh.omerta.cc
- werkenbij.tg-auth.com
- westonturville.omerta.cc
- wgcdn.omerta.cc
- widsi.omerta.cc
- wifi.business-data-leaks.com
- wifi.mywebb.at
- wine.omerta.cc
- wise.riskarbs.com
- wph.omerta.cc
- wstp.omerta.cc
- ww.omerta.cc
- www.arculusupgrade.net
- www.arculusupport.com
- www.booksandsongs.at
- www.business-data-leaks.com
- www.cvv-union.at
- www.ep6pheij.com
- www.helpsscodds.in
- www.mywebb.at
- www.omerta.cc
- www.union-shop.at
- www.www.ep6pheij.com
- wzyeirrg.omerta.cc
- xdir.omerta.cc
- xlc.omerta.cc
- xobuabchfr.omerta.cc
- xq7mt9kp2v.business-data-leaks.com
- ydmiwwww.staging.cvv-union.at
- yosoborno.com
- ytimg.omerta.cc
- yurisearch.omerta.cc
- yxkkiadmin.hostmaster.omerta.cc
- zellis.omerta.cc
- zoodle.omerta.cc
- zrsbc.omerta.cc
- zulma.omerta.cc
