Die Silent Ransom Group nutzt eine perfide Kombination aus digitalen und physischen Angriffsmetoden. Wie das FBI in einem „Flash Alert” von Dienstag mitteilte, beginnen die Angreifer typischerweise mit einem Telefonanruf oder einer Phishing-E-Mail. Dabei geben sich SRG-Akteure als Mitarbeiter der IT-Abteilung des Zielunternehmens aus. Sie fordern ihre Opfer auf, ihnen Remote-Zugriff auf ihre Computer zu gewähren – ein klassisches Social-Engineering-Szenario.
Scheitert dieser Versuch, eskaliert die Gruppe dramatisch: Ein Angreifer wird zur physischen Adresse des Opfers entsandt, um sich Zugang zu verschaffen und USB-Laufwerke oder externe Festplatten direkt in die Unternehmenscomputer einzustecken. Auf diese Weise umgehen sie Netzwerk-Sicherheitsmechanismen komplett und erbeuten große Datenmengen.
Das FBI führt solche Indikatoren auf: unautorisierte externe Festplatten oder USB-Geräte an Firmenrechnern, unbekannte Personen, die behaupten, IT-Support zu sein, sowie verdächtige Remote-Access-Aktivitäten.
Nach erfolgreichem Datendiebstahl presst die SRG ihre Opfer durch Erpressungs-E-Mails. Die Bande droht, die gestohlenen Daten zu verkaufen oder auf ihrer Leak-Site zu veröffentlichen. Zusätzlich kontaktiert sie Mitarbeiter und Geschäftspartner der Opfer direkt, um Druck für Verhandlungen aufzubauen.
Die Silent Ransom Group ist auch unter den Namen Luna Moth, Chatty Spider und UNC3753 bekannt. Seit mindestens 2022 aktiv, konzentrierte sie sich ab 2023 verstärkt auf juristische und Finanzinstitute. Interessanterweise war die Gruppe zuvor als Teil der Conti-Ransomware-Syndikats tätig – unter dem Namen BazarCall operierte sie als Zugangsvektor für Conti- und Ryuk-Ransomware-Anschläge. Nach der Zerschlagung von Conti im März 2022 gründete die Gruppe die Silent Ransom Group neu und spezialisierte sich seither auf reine Datenerpressung.
Für deutsche Unternehmen bedeutet dies: Physische Sicherheit der IT-Infrastruktur muss neu bewertet werden. Zugangskontroll-Systeme zu Serverräumen und Sensibilisierung der Mitarbeiter gegenüber verdächtigen Besuchern sind essentiell. Das BSI empfiehlt zusätzlich Zwei-Faktor-Authentifizierung und regelmäßiges Update von Zugriffsverwaltungssystemen.