Публикация внутреннего архива группировки Luna Moth, известной также как Silent Ransom Group и UNC3753, показала устройство преступного бизнеса, который строится на украденных документах, а не на шифровании чужих систем. Требования выкупа во внутреннем списке жертв за период с апреля по сентябрь 2026 года приближаются к 160 миллионам долларов. Главные цели - крупные юридические фирмы, хранящие конфиденциальные сведения клиентов. Атаки на них идут с 2022 года, и за это время группа отработала повторяемую схему давления.
Описание
Архив описывает последовательность действий: покупка доступа, обман сотрудников, кража информации, требование денег. Шифрование в этой схеме не участвует, поэтому пострадавшая компания продолжает работать, а её файлы уже находятся у посторонних. Давление строится на факте обладания чужими документами и угрозе их обнародования. Клиентские тайны, материалы судебных споров, финансовые отчёты и персональные данные делают юридическую фирму удобной мишенью. Публикация даже части такого массива обходится дороже, чем сама выплата.
Согласно опубликованному архиву, внутренняя переписка группы насчитывает 5 692 сообщения на двух серверах. В подборке также 60 вложений и упоминания 46 биткоин-кошельков. Среди файлов - кадровые документы, снимки экрана, заготовки для разговоров с жертвами и досье на компании. Внутренние обозначения выстроены как воронка продаж: обращение, предложение, договор, "золото". Такой порядок говорит о конвейере, где каждая жертва проходит заданные этапы вплоть до оплаты. Стихийности в записях не видно: у каждой сделки есть ответственный и срок.
Во внутреннем каталоге 14 организаций помечены как оплатившие. Суммы требований по ним колебались от 3 до 31,25 миллиона долларов. Общий объём заявленных претензий достигает 160 миллионов. Речь идёт о записях самих преступников, поэтому воспринимать цифры стоит как их собственную отчётность, а не как подтверждённые поступления. Конкретные названия пострадавших фирм в этом материале не приводятся.
Кто именно получил и опубликовал внутреннюю переписку, в архиве не сказано. Ответственность за утечку не взяла на себя ни одна известная группа, нет упоминаний и о действиях правоохранительных органов.
Структура группы напоминает компанию с разделением обязанностей. Одни участники ведут операции и выбирают цели, другие отвечают за общую кассу, зарплаты и расчёты с исполнителями. Отдельное направление - работа в поле: вербовка людей и действия за пределами интернета. Ещё одна группа готовит документы и легенды. В архиве сохранилось поддельное резюме сотрудника и сценарий звонка в службу поддержки. Такая специализация ускоряет подготовку к каждой атаке и снижает зависимость от одного человека.
Основной инструмент - разговор с человеком. Злоумышленники звонят под видом сотрудников технической поддержки и просят выполнить несложные действия. Голос может быть синтезирован, чтобы собеседник услышал знакомого руководителя. Такой приём называют голосовым фишингом. Используют вымышленные имена, заранее подготовленные истории и ссылки на внутренние регламенты. Всё это снижает настороженность и открывает путь к рабочим системам.
Деньги группа принимала в биткоинах, а затем распределяла через банковские счета и сервисы переводов, включая Zelle. Короткие окна для транзакций помогали снизить внимание банков. Часть средств уходила на выплаты участникам и посредникам, которые обналичивали суммы за комиссию. В переписке обсуждается покупка дорогой квартиры. На вопрос банка об источнике средств один из собеседников предложил ответить "накопления", а сопутствующие бумаги подготовили заранее. Превращение выкупа в обычную недвижимость завершает путь денег.
Помимо вымогательства, в архиве есть материалы о закупке оружия и ценах на него. Отдельный файл содержит перечень организаций возле военно-морских баз США. Такой список говорит об интересе к чувствительным объектам, но не доказывает, что все они пострадали. Обсуждение плана и его исполнение - разные вещи. Похожая осторожность нужна при оценке упоминаний о поддельных документах, поездках и перевозке людей.
Публикация переписки создаёт дополнительный риск для компаний, которые уже сталкивались с требованиями группы. Досье, снимки экрана с ходом шантажа, тексты предложений и сведения о целях теперь доступны за пределами инфраструктуры преступников. Организация, уже пережившая атаку, может получить вторую волну раскрытия информации и связанных с ней репутационных потерь. Копии таких материалов расходятся быстро, и вернуть их обратно невозможно. Поэтому инцидент стоит рассматривать как два события: исходное вымогательство и последующую утечку данных о нём.
Защита начинается с проверки неожиданных обращений от имени технической поддержки. Полезно ограничить права удалённого доступа, включить двухфакторную аутентификацию и следить за необычной активностью подрядчиков. Сотрудников стоит научить распознавать поддельные голоса и сомнительные просьбы, а также дать им простой способ быстро сообщить о подозрении. Отдельного внимания требуют документы, связанные с урегулированием инцидента: переписка о самом происшествии тоже может утечь. Чем меньше людей и систем знают о ходе разбирательства, тем ниже риск.
Модель Luna Moth показывает, что доступ добывают через людей, украденные данные становятся инструментом давления, а собственные записи преступников превращаются в источник сведений о них. Для защиты мало технических средств: нужна дисциплина в общении с незнакомцами и аккуратность в обращении с документами.
Индикаторы компрометации
