サイレント・ランサム・グループが、偽のITサポート電話を用いて法律事務所を標的にしている

サイバーセキュリティ企業マンディアント（Mandiant）の新たな報告書によると、サイレント・ランサム・グループ（Silent Ransom Group）という恐喝グループは、米国の法律事務所や専門サービス企業を標的としたソーシャルエンジニアリング攻撃を活発に行っている。これらの攻撃では、最初の接触から数時間以内にデータが盗まれるケースが少なくないという。

この報告書は、先週FBIが発表したFLASHアドバイザリに続くもので、同アドバイザリではサイレント・ランサム・グループがソーシャルエンジニアリングや対面でのデータ窃取攻撃を通じて米国の法律事務所を標的としていると警告していた。マンディアントは今回、侵入の手口に関する追加の技術的詳細を提供している。

マンディアントによると、UNC3753、Luna Moth、Chatty Spiderとして追跡されているこの脅威グループは、2026年1月から5月にかけて、法律、金融、専門サービス業界の数十の組織を標的にした。 

マンディアントは、法律事務所が特に魅力的な標的であり続けていると警告している。その理由は、法律事務所が大量の極めて機密性の高い顧客情報を保管している上、評判や規制上の損害を避けるために身代金要求事件の解決を迫られる可能性があるためだ。

「法律サービス企業は、恐喝を行う者にとって極めて価値の高い標的です。これらの企業は、極めて機密性の高い顧客取引ファイル、M&A計画、顧客の営業秘密、および企業の規制報告書を集中的に保管しています」とマンディアントは説明しています。 

「脅威グループは、法人が重大な評判リスクや規制上のリスクにさらされており、専門的な地位を守るために恐喝事態を密かに解決しようとする強い動機を持つ可能性があることを認識している」

研究者によると、攻撃は一般ユーザーのメールアカウントから送信される請求書を装ったフィッシングメールから始まる。これらのメールには悪意のあるリンクや添付ファイルは含まれておらず、代わりに、企業のITスタッフを装った攻撃者からの追跡電話への布石として機能する。

音声通話を利用した攻撃は、これらの脅威アクターによる長年にわたる常套手段であり、彼らは以前、RyukやContiランサムウェア攻撃に関連したBazarCallソーシャルエンジニアリングキャンペーンでも同様の手法を用いていた。 「コールバック型フィッシング攻撃」とは、脅威アクターが、受信者に記載された電話番号へ折り返し電話をかけるよう促す、警告やIT関連の餌を含む一見無害なフィッシングメールを送信する手口である。

今回のキャンペーンでは、Silent Ransom GroupがITヘルプデスクを装い、従業員を説得してMicrosoft Teams、Zoom、Quick Assist、またはMicrosoft Terminal Servicesを介したリモートサポートセッションに参加させます。

これらのセッション中、攻撃者は標的を騙してAnyDesk、Zoho Assist、Bomgar、SuperOpsなどのリモート監視・管理ツールをインストールさせ、それによって企業ネットワークへの初期アクセス権を獲得します。

Mandiantはまた、このキャンペーンに関連するフィッシングドメインを発見しました。これらは、次のような命名パターンを用いて内部ITポータルを装っています：

<組織名>-itdesk[.]com
<組織名>-it[.]com
<組織名>-helpdesk[.]com

研究者によると、脅威アクターは、リモートサポートセッション中に標的とインストールリンクやコマンドを共有するために、自己消滅型メッセージングサービスであるprivnote[.]comも使用しているという。Mandiantによれば、この戦術は、ブラウザの履歴や企業のチャットログに残されるフォレンジック上の痕跡を減らすのに役立つ。

ネットワークに侵入すると、このグループは契約書、税務記録、社会保障番号、合併・買収関連ファイルなど、機密性の高い法務・財務文書を検索します。攻撃者は通常、文書管理プラットフォームやクラウドストレージリポジトリを標的とし、WinSCPやRcloneなどのツールを使用してデータを持ち出します。

マンディアント社によると、この恐喝作戦は非常に攻撃的であり、攻撃者が被害者の環境から離脱してから30分以内に身代金要求が届くことがよくあるという。 

「これらの極めて攻撃的な恐喝文は、組織に対し、3日以内に応答し身代金交渉を開始するよう期限を設けている。被害組織が応答しない場合、脅威アクターは、データ侵害を警告するために標的となった従業員や外部クライアントに直接電話やメールで連絡すると宣言する」とマンディアントは報告している。

「恐喝状では、情報漏洩が顧客の信頼を損ない、多額の規制当局による罰金を招くことを明示的に強調しており、外部の顧客がデータ管理不備を理由に被害組織を提訴する可能性を示唆している」

同レポートはまた、FBIが最近発表した勧告にも言及している。そこでは、法執行機関が「Silent Ransom Group」が米国の法律事務所を標的とし、対面でのデータ窃取攻撃を行っていると警告していた。

FBIによると、攻撃者は電話やメールで内部のITスタッフを装い、リモートアクセスを取得しようとしたり、実際にオフィスを訪問してコンピュータを「イメージ化」したりバックアップを作成したりするふりをしながら、密かにファイルを盗み出そうとする。

マンディアント社は、フォレンジック証拠は限られていると述べたものの、研究者らは、標的、時期、および活動様式における類似点に基づき、これらの対面攻撃がUNC3753と関連している可能性が高いと考えている。

サイレント・ランサム・グループは、少なくとも2022年から活動しており、当時はRyukおよびContiサイバー犯罪組織の一員であった。 

以前の報道でも触れた通り、この脅威アクターは以前、ContiおよびRyukランサムウェア攻撃における初期アクセスを提供するBazarCallコールバック型フィッシングキャンペーンに関与していた。

2022年にContiシンジケートが解散した後、同グループは「Silent Ransom Group」のブランド名の下で、独立したデータ窃取および恐喝活動へと移行した。

研究者によると、同グループはもはや従来のランサムウェアによる暗号化に依存しておらず、代わりにデータ窃取を目的とした恐喝に完全に注力している。具体的には、機密データを盗み出し、被害者に情報漏洩を防ぐために支払いを迫る手口だ。

今週Resecurityが発表した別のレポートによると、このグループはデータ漏洩プラットフォームを隠蔽・保護するために、ファストフラックスインフラも運用していることが判明した。

DNSファストフラックスとは、攻撃者が侵害されたデバイスの大規模なプールを通じてドメインのIPアドレスを絶えずローテーションさせ、インフラを隠蔽し、摘発や遮断を著しく困難にする手法である。

同社によると、このインフラは複数の国やISPにまたがる一般家庭用IPアドレスを利用しており、これによりインフラの閉鎖をより困難にしている。

Resecurityは、同グループのリークサイト「business-data-leaks[.]com」および関連インフラが、ラテンアメリカ、東欧、中央アジア、中東、アジアに広がる一般家庭向けプロキシネットワークに依存していると述べた。また、研究者らはこのインフラを他のサイバー犯罪関連サービスやドメインとも関連付けている。

これらの攻撃に対抗するため、マンディアント社とFBIは共に、ITサポートとのやり取りにおける厳格な本人確認手順の導入、リモートアクセスツールの制限、多要素認証（MFA）の徹底、USBストレージデバイスの使用制限、およびボイスフィッシングの試みを認識できるよう従業員を教育することを推奨している。

フィッシング、BEC（ビジネスメール詐欺）、アカウント乗っ取り攻撃への防御策を検討している組織向けに、[企業名]はAbnormal社と共同で、「アラートの追跡をやめよう：行動AIによるメールセキュリティの自動化」と題したウェビナーを開催します。

このウェビナーでは、行動AIがセキュリティチームに対し、最新のフィッシング攻撃の検知と対応、調査および修復の自動化、そしてアラート疲労やますます巧妙化するソーシャルエンジニアリング攻撃によって生じる運用負担の軽減にどのように役立つかについて解説します。