Silent Ransom Group
Aliasnamen: SRG, Luna Moth, Chatty Spider, UNC3753
Prüfdatum des Quellprofils: 2026-06-21
Zum Quellenregister hinzugefügt: 2025-05-06 · Quellenstand: 2026-09-15
Die Quellenmetadaten sind nicht unabhängig verifiziert. Das Registrierungsdatum ist nicht unbedingt das Datum des ersten Angriffs. Quellenzusammenfassungen werden bei Bedarf maschinell übersetzt; der Feed kann veraltete Einschätzungen enthalten.
Forschungsstand: Vorhandenes recherchiertes Dossier
Dieses Dossier trennt akteursspezifische Quelleninformationen von allgemeiner Verteidigungsanalyse. Empfehlungen und Untersuchungsfragen sind keine zusätzlichen Tatsachen über den Akteur. Eine begrenzte öffentliche Beweislage wird ausdrücklich benannt.
Lokal erstellte maschinelle Übersetzung; die sprachliche Prüfung steht noch aus.
Management-Zusammenfassung
Silent Ransom Group nutzt Callback-Phishing und Social Engineering hauptsächlich, um Support- oder Managementbeziehungen zu missbrauchen und Daten ohne klassische Verschlüsselung zu stehlen.
Silent Ransom Group ist wichtig, weil der Akteur zeigt, dass es bei Ransomware-Waffen auch um Helpdesks, Fernunterstützung, SaaS-Daten und menschenorientierte Steuerung geht.
Die letzten fünf bekannten Opferbehauptungen
Gespeicherte Meldungen werden geladen…
Dies sind öffentliche Behauptungen, die der Gruppe zugeschrieben werden, keine unabhängig bestätigten Einbrüche. Die Daten bezeichnen Veröffentlichung oder Entdeckung, nicht unbedingt den Angriff.
Zusammenfassung der Verwaltung
Silent Ransom Group ist keine klassische Ransomware-Gruppe, die immer Verschlüsselung verwendet. Der Kern der Bedrohung sind Social Engineering, Callback-Phishing, Fernunterstützungsmissbrauch und Datendioden. Opfer werden in die Irre geführt, um sich selbst zu kontaktieren oder Zugang zu gewähren, woraufhin der Akteur Daten sammelt und erpresst.
Das Risiko für Unternehmen liegt im Vertrauen. Helpdesks, Mitarbeiter, Lieferanten und Remote-Support-Tools werden als Input verwendet. Wenn ein Mitarbeiter davon überzeugt ist, ein Tool zu installieren, eine Sitzung zu starten oder sich anzumelden, während der Schauspieler zuschaut, kann der Angriff außerhalb der herkömmlichen Malware-Erkennung bleiben.
Für die Verteidigung bedeutet das, dass Bewusstsein nicht genug ist. Unternehmen müssen technische Bremsen für Fernunterstützung, SaaS-Downloads, große Exporte, persönliche Cloud-Uploads, neue Posteingangsregeln und Datenbewegungen von Arbeitsplätzen haben.
Gruppierung und Entwicklung
Silent Ransom Group wird von mehreren Anbietern mit Namen wie Luna Moth, Chatty Spider oder UNC3753 verknüpft. Die Gruppe wurde durch Callback-Phishing bekannt: Opfer erhalten eine Lockvogel-E-Mail über ein Abonnement oder eine Rechnung und nennen sich dann eine Nummer, die vom Schauspieler verwaltet wird.
Im Gespräch überzeugt der Schauspieler das Opfer, Remote-Support-Software zu installieren oder eine Sitzung zu starten. Danach wird der Zugriff verwendet, um nach Dateien zu suchen, auf Postfächer zuzugreifen, Cloud-Speicher zu öffnen oder weitere Anmeldeinformationen zu missbrauchen. Der Druck kommt später durch gestohlene Datenerpressung.
Die Gruppe zeigt, warum moderne Erpressung nicht immer Malware erfordert. „Ein Angriff kann ganz aus überzeugender Kommunikation, gültigen Benutzeraktionen und legitimen Tools bestehen, die Verhaltenserkennung und Prozesskontrolle wichtig machen.
Operation und Angriffskette
Die Kette beginnt oft mit einer E-Mail, die ein dringendes finanzielles Problem andeutet: Abonnement, Erweiterung, Zahlung oder Support. Die Mail enthält nicht unbedingt Malware; der Zweck ist, dass der Empfänger anruft.
Der Schauspieler kann sich während des Telefongesprächs als Support Officer, Abrechnungsabteilung oder Sicherheitsteam ausgeben. Das Opfer wird gebeten, Remote-Support zu installieren, einen Browser zu öffnen, sich anzumelden oder Dateien anzuzeigen.
Viele verwendete Abwehrsignale sind in Endpunkt- und SaaS-Verhalten: Installation oder Start von Remote-Support-Tools, neue Downloads von SharePoint / OneDrive / Google Drive, Dateikomprimierung, Upload auf externen Speicher, Zugriff auf persönliche Postfächer und abweichende Browser-Downloads.
In der Erpressungsphase geht es um den Nachweis von Datenhilfe. Weil es oft keine Verschlüsselung gibt, kann eine Organisation die Bedrohung unterschätzen. Gerade dann ist schnelle Protokollanalyse erforderlich: Welche Daten wurden angesehen oder heruntergeladen, auf welche Cloud-Standorte wurde zugegriffen, welche Tools wurden gestartet und welche Konten wurden möglicherweise geteilt?
Bekannte IOCs und Artefakte
Die wichtigsten Artefakte sind Callback-Phishing-Mails, Telefonnummern in Locator-Nachrichten, Remote-Support-Installationen, Sitzungsprotokolle, Browserverlauf, Downloads, Zip- oder Archivdateien, Cloud-Synchronisierungsaktivität und Erpressungskommunikation.
Spezifische Hashes sind weniger wichtig als das Tool- und Sitzungsverhalten. Legitime Remote-Tools können AnyDesk, ScreenConnect, TeamViewer oder ähnliche Produkte sein. Nicht jede Installation ist bösartig; die Kombination mit einem unerwarteten Anruf und Datenbewegung macht sie verdächtig.
Für die Sicherheit von Postsendungen ist es wichtig, Nachrichten ohne Nutzlast als gefährlich zu behandeln, wenn sie Rückrufschleifen enthalten. Telefonnummern, Abrechnungssprache, Dringlichkeit und externe Absender können als Erkennungsmerkmal dienen.
Opfermuster und Lektionen
Silent Ransom Group konzentriert sich auf Organisationen, in denen die Mitarbeiter Zugang zu nutzbaren Daten haben und in denen Fernunterstützung sozial glaubwürdig ist.
Die Lehre ist, dass ein Nutzer manchmal keinen Fehler macht, indem er auf einen Malware-Link klickt, sondern einem überzeugenden Gespräch vertraut. Daher sollten Prozesse den Mitarbeitern helfen: klare Regeln für externe Unterstützung, Verbot bei nicht autorisierten Remote-Tools und einfache Eskalation bei verdächtigen Telefonanrufen.
Eine zweite Lektion ist, dass die SaaS-Protokollierung zentral sein sollte. Wenn der Akteur Daten aus dem Cloud-Speicher über eine Workstation herunterlädt, müssen Sicherheitsteams in der Lage sein, sie zu sehen, ohne vom Endpunkt allein abhängig zu sein.
Wie man sich bewaffnet
Blockieren oder Verwalten von Remote-Support-Tools über Allowlisting: Nur genehmigte Tools zulassen, Sitzungen protokollieren und sicherstellen, dass normale Benutzer keine neue Fernsteuerungssoftware ohne Genehmigung installieren können.
Trainieren Sie das Personal speziell für Callback-Phishing. Zeigen Sie, dass eine E-Mail ohne Anhang gefährlich sein kann, wenn der Mitarbeiter anrufen möchte. Machen Sie die Berichterstattung niedrigschwellig und ohne Schuldgefühle.
Überwachen Sie Cloud-Daten über Massendownloads, neue externe Shares, ZIP-Erstellung, persönliche Speicherung und Downloads kurz nach der Remote-Support-Aktivität. Verbinden Sie dies mit Post- und Telefonsignalen, um die Kette sichtbar zu machen.
Identität, Namen und Zuordnung
Eine belastbare Bewertung von Silent Ransom Group beginnt mit einer eindeutigen Zuordnung. Im lokalen Dossier sind folgende Namen oder Aliasnamen verzeichnet: SRG, Luna Moth, Chatty Spider, UNC3753. Ein Alias erleichtert die Suche, belegt aber keine gemeinsamen Betreiber. Ähnliche Namen, wiederverwendete Logos und vergleichbare Erpressungstexte reichen dafür nicht aus. Bewahren Sie die ursprüngliche Schreibweise und unterscheiden Sie veröffentlichende Partei, Schadsoftwarefamilie und mutmaßliche Angreifer. Diese Rollen können verschiedene Personen übernehmen. Ein Vorfall darf nicht allein aufgrund eines ähnlichen Dateinamens einer Gruppe zugerechnet werden. Jede vermutete Verbindung benötigt eine eigene nachvollziehbare Quelle und einen zeitlichen Bezug. Neue Erkenntnisse müssen diese Zuordnung gegebenenfalls korrigieren können.
Zeitliche Einordnung der Beobachtungen
Für Silent Ransom Group ist das Registrierungsdatum 2025-05-06 verfügbar; der Metadatenstand stammt vom 2026-09-15. Diese Daten beschreiben den Eintrag, nicht den nachgewiesenen Beginn krimineller Aktivitäten. Eine Gruppe kann bereits vorher aktiv gewesen sein, und eine Veröffentlichung kann einen älteren Vorfall betreffen. Trennen Sie vermutetes Eindringen, Datenzugriff, Entdeckung durch das Opfer, Veröffentlichung durch den Erpresser und Beobachtung durch den Überwachungsdienst. Auch das Prüfdatum des Profils hat eine andere Bedeutung. Wandeln Sie diese Zeitpunkte nicht stillschweigend ineinander um. Bei widersprüchlichen Quellen bleiben beide Beobachtungen mit ihrer Herkunft sichtbar, bis zusätzliche Belege eine genauere Chronologie ermöglichen.
Kompromittierungsindikatoren (IOCs)
Indikatoren sind historische Beobachtungen, kein Beweis für eine aktuelle Infektion. Prüfen Sie Quelle, Alter und Kontext vor Erkennung oder Blockierung; legitime Verwaltungswerkzeuge können Fehlalarme auslösen.
| Typ | Wert | Quelle | Kontext |
|---|---|---|---|
| tactic | callback phishing | CISA / vendor reporting on Luna Moth and SRG | Primäre erste Social Engineering Methode. |
| tooling | legitimate remote support tools | public Luna Moth reporting | Tool Name Different; Unautorisierte Nutzung erkennen. |
| behavior | data theft without encryption | public SRG reporting | Erpressung basierend auf gestohlenen Daten. |
Quellen
- CISA: Silent Ransom Group alert
- Palo Alto Unit 42: Luna Moth callback phishing
- MITRE ATT&CK — Valid Accounts (defensive context)
- MITRE ATT&CK — External Remote Services (defensive context)
- MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
- MITRE ATT&CK — Inhibit System Recovery (defensive context)
- Ransomware.live — Silent Ransom Group
Belege und Einschränkungen
Die Zuordnung beschreibt die Einschätzung der Quelle, keine verifizierte Identität. Ein Eintrag auf einer Leak-Seite allein belegt weder Verschlüsselung noch Datendiebstahl, eine bestimmte Schwachstelle oder eine Affiliate-Beziehung. Fehlende Informationen werden ausdrücklich benannt.