2026 年 10 月 5 日左右，一個名為「Luna Moth Files」的匿名洋蔥網站聲稱曝光了 Silent Ransom Group (SRG) 的內部資料，SRG 也被稱為 Luna Moth 和 UNC3753。該資料包包括聊天記錄匯出文件、語音釣魚文件、螢幕截圖和一份據稱是偽造的員工簡歷。
沒人知道是誰發布的，也不知道這份檔案是如何獲得的，所以除非有獨立來源證實，否則我們將其內容視為未經證實。這份資料不包含任何新的漏洞利用程式或惡意軟體。它確實展現了以社會工程為主導的勒索行動可能如何組織運作。
SRG是一個以經濟利益為目的的資料勒索組織，通常不使用加密技術。他們會誘騙人們授予存取權限，竊取敏感資訊，並透過威脅公開或出售這些資訊來向組織施壓，迫使其支付贖金。
單元 42 將 2022 年的活動記錄為回撥式網路釣魚。個人化的訂閱發票將收件者引導至攻擊者控制的電話號碼，通話最終導致受害者使用合法的管理軟體啟動遠端支援會話。
Mandiant後來描述了直接冒充受害者內部IT人員的犯罪行為，他們使用服務台或資料遷移等藉口，透過螢幕共享、合法的遠端管理工具和消費者文件共享服務進行攻擊。 FBI也報告稱，有人冒充IT人員，在遠端攻擊失敗後試圖進行實體存取。
聊天記錄描述了一個分段式運作模式。目標研究人員和使用者畫像建構者負責準備業務背景資訊。呼叫者建立權威並保持受害者的參與。技術人員支援遠端會話和資料存取。談判者和支付處理人員負責管理資金變現。雖然檔案中沒有建立正式的層級結構，但這種分工貫穿所有資料。
這份網路釣魚文件展示了角色之間的關聯。它指示攻擊者在整個遠端會話期間監控一個單獨的群聊，並報告受害者行為的任何變化。這意味著在攻擊者保持對話平靜的同時，還有第二個操作員在終端機上工作。聊天記錄中也提到了用於 3CX 電話系統的虛擬伺服器。
在這個工作流程中，通話充當控制通道。它使受害者保持配合，同時並行進行存取和資料收集。
早期資訊討論了長期網域名稱、企業郵箱帳戶和簡潔的商業網站。其他交流則提到了註冊商業人員資料服務，隨後是高階主管名單和開始電話聯繫的請求。
最終呈現的是一個事先研究過該組織並擁有經得起基本審查的身份的來電者。披露的腳本遵循著精心設計的流程，先是製造焦慮，然後是安撫，最後再次強調緊迫感，並將遠端存取包裝成一種安全保護措施。這與公開記錄的「月蛾」組織的行為模式相符，而新的細節在於如何指導來電者管理信任和應對抵制情緒。
聊天記錄顯示，對方以商業化的方式進行受害者管理。 「聊天」、「報價」、「合約」和「黃金」等標籤與收入預估、談判狀態以及對加密貨幣錢包的索要資訊一同出現。參與者也一再提及法律行業，並意圖瞄準全球排名前100的律師事務所。
觀察到的受害者案例也支持這一觀點。在該組織最近觀察到的50名受害者中，有42家是律師事務所。在更廣泛的資料集中，商業服務類佔69個，金融類佔22個，房地產類佔2個。
關於招募人員、潛在特工以及名為「Fake_Employee」的計畫的討論表明，他們正在進行更持久的人員接觸實驗。該網站還列出了一份據稱已發送給律師事務所的履歷，以及一些被描述為實地活動的圖片。這些內容與聯邦調查局關於試圖進行人員接觸的報告相符。
證據最有力地支持內部討論和專案概念。而對於成功安插虛假員工或所展現的任何個人的身分和角色，證據則相對較弱。
該網站顯示兩種不同的訊息總數，其主要財務數據與其自身表格中的金額不符。關於運營者身份、已確認的付款以及深度偽造技術使用情況的說法需要獨立核實。儘管如此，該存檔仍然足夠詳細和一致，可以初步了解該組織的運作模式。
核心發現在於組織結構。 Luna Moth 的優勢似乎源於其可重複的流程，將已掌握的身份資訊和可信賴的業務背景轉化為遠端存取權限、竊取的資料和利用手段。僅針對惡意軟體的控制措施無法阻止此流程。
工作流程接下來包含幾個實用步驟。在批准遠端會話之前，請務必透過獨立的已知管道驗證所有收到的 IT 請求。限制員工可以安裝的遠端存取工具。向高級員工（尤其是在律師事務所和專業服務公司）進行簡要介紹，因為高級員工的名字會出現在呼叫名單上。利用數位品牌保護措施監控相似網域和虛假身份，並透過深網和暗網監控追蹤攻擊者的言論和外洩的人員資料。
如果檔案屬實，Luna Moth 將社會工程視為一種生產流程。調查建立信譽，電話攻擊者將其轉化為存取權限，技術人員將存取權限轉化為竊取的數據，談判人員將這些數據轉化為籌碼。該組織看起來不像傳統的勒索軟體團夥，而更像是一家專門從事資料勒索的公司，其核心平台是協同操縱信任。
想了解完整分析？請閱讀完整報告，其中包括重構的運作流程和已發現受害者的部門細分。下載《月蛾檔案內幕》。
Check Point Exposure Management將攻擊者基礎設施、暗網動態、品牌冒充和內部遙測資料整合到持續更新的情報流中，使安全團隊能夠了解攻擊的演變過程並採取關鍵行動。了解 Check Point Exposure Management 威脅情報。2026 年 10 月 5 日左右，一個名為「Luna Moth Files」的匿名洋蔥網站聲稱曝光了 Silent Ransom Group (SRG) 的內部資料，SRG 也被稱為 Luna Moth 和 UNC3753。該資料包包括聊天記錄匯出文件、語音釣魚文件、螢幕截圖和一份據稱是偽造的員工簡歷。
文章來源/Check Point Blog Check Point Blog
返回