Твърди се, че вътрешни чатове от Silent Ransom Group показват, че киберпрестъпниците са събрали 206,95 милиона долара от 27 компании за приблизително шест месеца, без да криптират файловете на жертвите.
Отчетените приходи показват силата на изнудването с данни, при което атакуващите крадат поверителни записи и изискват плащане, за да ги запазят в тайна. Данните за плащанията обаче остават непотвърдени, а групата отрича да е имало пробив в системите ѝ или да са изтичали нейни чатове.
DataBreaches съобщи за предполагаемото изтичане на 7 октомври. Материалът съдържа 5 692 съобщения, обхващащи периода от 27 август 2025 г. до 29 септември 2026 г.
Съобщава се, че дискусиите включват преговори с жертви, плащания, методи за достъп и разходи на членовете. Обновяване от 8 октомври съобщава, че Silent Ransom Group се е съгласила на интервю, но оспорва произхода на изтичането.
Silent Ransomware е изнудила за над $200 000 000
Чатовете маркират завършените сделки като „GOLD“. Добавянето на тези записи дава общата сума от 206,95 милиона долара. Crystal Intelligence датира 27-те заявени плащания между 3 април и 24 септември 2026 г., поставяйки отчетените приходи в период от по-малко от шест месеца. Тези записи отразяват собствените данни на киберпрестъпниците, а не одитирани финансови резултати.
Според DataBreaches медианното предполагаемо плащане е било 6 милиона долара, докато отделните суми са варирали от 100 000 до 30 милиона долара. White & Case е посочена срещу най-голямата сума. Девет от назованите компании съобщиха за пробиви, свързани с този период. Тези оповестявания обаче не потвърждават кой ги е атакувал или дали са платили посочените суми.
Анализът на блокчейна от Crystal Intelligence откри транзакции, съвпадащи по време с няколко чат записа. Един портфейл за инкасиране по веригата е получил около 344 биткойна, оценени на приблизително 27 милиона долара, за период от шест седмици.
Изследователите не успяха да свържат отделните плащания от жертвите с този портфейл. Следователно доказателствата подкрепят наличието на значителни парични движения, а не че потвърждават крайната обща сума.
Плащания от 27 жертви, посочени в изтеклите чатове:
| Адвокатска кантора | Отчетено плащане | Потвърждение за пробив |
|---|---|---|
| Beveridge & Diamond | $1,000,000 | Не е предоставено |
| Blank Rome | $17,500,000 | Потвърден пробив през май 2026 г.; адвокат е подмамен да качи файлове в Google Drive. |
| Bowman and Brooke | $100,000 | Не е предоставено |
| Buchalter | $10,000,000 | Потвърден пробив на данни през август 2026 г., засягащ информация за клиенти и пациенти. |
| Chartwell | $1,000,000 | Потвърден инцидент със социално инженерство през април 2026 г. |
| Cox Castle | $600,000 | Не е предоставено |
| Dentons | $21,000,000 | Не е предоставено |
| Dickie, McCamey & Chilcote | $450,000 | Не е предоставено |
| F3 Law | $400,000 | Не е предоставено |
| Fragomen | $10,500,000 | Потвърдено компрометиране на акаунт през май 2026 г. |
| Goodwin Procter | $10,000,000 | Потвърдена кражба на идентификационни данни на служители през пролетта на 2026 г. |
| Goulston & Storrs | $450,000 | Пробив на данни през 2026 г., засягащ шофьорски книжки. |
| Gray Reed | $500,000 | Не е предоставено |
| Hinshaw & Culbertson | $8,000,000 | Не е предоставено |
| Irell & Manella | $275,000 | Не е предоставено |
| Jackson Lewis | $3,900,000 | Не е предоставено |
| K&L Gates | $3,000,000 | Не е предоставено |
| Manatt | $6,000,000 | Не е предоставено |
| McDermott Will & Schulte | $11,000,000 | Потвърден инцидент през май 2026 г., засегнал лични данни. |
| Phelps | $575,000 | Не е предоставено |
| Proskauer Rose | $8,000,000 | Не е предоставено |
| Rivkin Radler | $700,000 | Не е предоставено |
| Squire Patton Boggs | $20,000,000 | Не е предоставено |
| Taft | $6,000,000 | Потвърден пробив през март 2026 г., засягащ номера на социално осигуряване. |
| Weil | $19,000,000 | Потвърдена атака; плащането на откуп не е потвърдено. |
| White & Case | $30,000,000 | Не е предоставено |
| WilmerHale | $17,000,000 | Потвърден пробив на данни през май 2026 г. |
| Общо отчетено | $206,950,000 |
Silent Ransom Group, проследявана още като Luna Moth и UNC3753, се появи след закриването на Conti през 2022 г. Въпреки че бива определена като група за зловреден софтуер от тип ransomware, тя няма нужда да заключва файлове.
Операторите подмамват служителите да им предоставят достъп, открадват документи и ги заплашват, че ще ги публикуват. Адвокатските кантори са основен обект на атака, тъй като съхраняват поверителна клиентска информация.
CybersecurityNews по-рано отрази атаките на групата с представителство на ИТ поддръжка срещу адвокатски кантори. Атакуващите се обаждат на служители, представят се за вътрешен персонал по поддръжката и ги убеждават да предоставят отдалечен достъп. Легитимният софтуер помага на дейността да се смеси с рутинната работа, намалявайки зависимостта от зловреден код, който иначе инструментите за сигурност биха открили.
Свързаните доклади за фалшивите домейни за поддръжка на Luna Moth описват уебсайтове, проектирани да наподобяват услуги за поддръжка на компании. След като получат достъп, инструменти като WinSCP и Rclone могат да прехвърлят откраднатите файлове. Натискът идва от възможното разкриване на поверителни записи, а не от внезапна загуба на достъп до бизнес системите.
Crystal откри инструкции за използване на нови портфейли, държане на средствата от жертвите отделно и избягване на комбиниране на плащанията. Операторите понякога са нарушавали тези правила, свързвайки транзакции, които следователите са успели да проследят.
По-малки плащания са достигнали и до регулирани борси, създавайки потенциални следи чрез записите за самоличност на клиентите. Анализът описва превръщането на средствата в в брой чрез платформи за незабавна обмяна, куриери и услуга от Bitcoin към Zelle.
За защитниците веригата на атаката прави проверките на самоличността от съществено значение. Служителите трябва да потвърждават заявките за поддръжка чрез известни вътрешни канали, преди да предоставят достъп.
Организациите трябва да ограничат отдалечения достъп, да внедрят автентикация, устойчива на фишинг, и да обучат персонала да разпознава измамите по телефона. Работещите системи не гарантират, че чувствителните файлове са в безопасност.
Спира заплахите преди въздействие с 21 минути по-бърз MTTR. Интегрирайте изолираната среда (Sandbox) на ANYRUN във вашия SOC