UNC6671 trat laut GTIG Anfang 2026 unter dem Namen BlackFile in Erscheinung. Im Mai warnte die Google Threat Intelligence Group, dass die Gruppe Dutzende Organisationen in Nordamerika, Australien und dem Vereinigten Königreich angegriffen habe. Ziel waren vor allem Infrastrukturen rund um Microsoft 365 und Okta, wobei die Täter Adversary-in-the-Middle-Techniken einsetzten, um Abwehrmechanismen und MFA zu umgehen und Zugriff auf Cloud-Umgebungen zu erhalten.
Ebenfalls im Mai stellte die Gruppe nach Angaben von GTIG den Namen BlackFile ein, setzte ihre Aktivitäten aber unter mehreren neuen Marken fort: Redact, Pink, Helix und Falcon. Die jüngsten Angriffe richteten sich demnach vor allem gegen Finanzdienstleister, Private-Equity-Unternehmen und professionelle Dienstleister.
Das Kernelement der Kampagnen bleibt laut GTIG gleich: Die Angreifer geben sich am Telefon als Mitarbeiter eines IT-Helpdesks aus und kontaktieren Beschäftigte der Zielunternehmen häufig auf deren privaten Mobiltelefonen. Unter dem Vorwand zwingender und dringender Sicherheitsmigrationen lotsen sie die Betroffenen auf gefälschte Login-Portale, um Zugangsdaten und MFA-Token abzufangen.
Trotz der unterschiedlichen Marken in den Erpressungsnachrichten seien die Taktiken, Techniken und Verfahren von der Erstkompromittierung bis zu den Aktivitäten nach dem Eindringen konsistent geblieben, so GTIG. Im Juni richtete die Gruppe unter der Marke Redact eine neue Leak-Seite ein und erklärte dort den Abschied von BlackFile. Zur Begründung hieß es, die frühere Operation sei von einem Affiliate übernommen worden. Bei der Beobachtung des digitalen Fußabdrucks von UNC6671 stellte GTIG zudem Überschneidungen mit anderen Erpressungsmarken fest.
GTIG schreibt dazu, diese Überschneidungen stützten die Einschätzung, dass eine gemeinsame Gruppe von Bedrohungsakteuren mit den Erpressungsmarken BlackFile, Redact, Pink, Helix und Falcon verbunden sei. Zugleich hält die Google Threat Intelligence Group auch andere Szenarien für plausibel, etwa abgespaltene Affiliates oder eine gemeinsam genutzte Phishing-as-a-Service-Infrastruktur.
Für die Kampagnen nutzte die Gruppe nach Angaben von GTIG generische Root-Domains über mehrere Opfer hinweg, darunter passkeyhelpdesk[.]com, portalpasskey[.]com, addssopasskey[.]com, passkeydeploy[.]com, mysecurepasskey[.]com und passkeyuser[.]com. Einige Domains seien zwar exklusiv bestimmten Erpressungsmarken zugeordnet gewesen, ließen sich aber über die eingesetzten Phishing-Vorlagen zur Ernte von Zugangsdaten mit UNC6671 in Verbindung bringen.
Laut GTIG zeigen die Domain-Registrierungsmuster der Gruppe eine regelmäßige Verlagerung bei der Zielauswahl, offenbar hin zu Organisationen, die mit höherer Wahrscheinlichkeit sensible Informationen besitzen. Dazu setze UNC6671 Subdomains ein, in die die Namen potenzieller Opfer eingebaut werden, um maßgeschneiderte Panels zum Abgreifen von Zugangsdaten zu hosten.
Bei jüngsten Angriffen beobachtete GTIG zudem eine Weiterentwicklung der Methoden. So fälschten die Täter legitime Helpdesk-Telefonnummern und nutzten kompromittierte E-Mail-Adressen, um Passwörter für nicht an Single Sign-on angebundene Unternehmensanwendungen zurückzusetzen. Bestätigungsnachrichten, Warnmeldungen und Benachrichtigungen wurden dabei gelöscht, um eine Entdeckung zu erschweren.
Zwischen Januar und Mai erhielt die Gruppe laut GTIG mehr als 10 Millionen US-Dollar in Bitcoin über 18 Wallet-Adressen. Dabei handelte es sich um Lösegeldzahlungen; ein Teil davon wurde noch nach der Ankündigung zur Einstellung von BlackFile geleistet. Die anfänglichen Forderungen lagen laut GTIG typischerweise zwischen 1 Million und mehr als 3 Millionen US-Dollar. Im Verlauf von Verhandlungen reduzierten die Erpresser diese Summen häufig um 50 bis 75 Prozent. In mehr als 53 Prozent der in diesem Zeitraum verfolgten Fälle lagen die endgültigen Zahlungen im Durchschnitt bei 750.000 US-Dollar.