Die Google Threat Intelligence Group (GTIG) und Mandiant warnen vor einer laufenden, gezielten Angriffskampagne der Hackergruppe UNC3753, auch bekannt als Luna Moth, Chatty Spider oder Silent Ransom Group. Die Täter kombinieren klassisches Vishing (Phishing per Telefon) mit Fernzugriffstools und gehen in besonders hartnäckigen Fällen sogar dazu über, als gefälschte IT-Techniker physisch in Firmenbüros einzudringen.

Wer steckt hinter den Angriffen?

UNC3753 ist eine finanziell motivierte Bedrohungsgruppe, die seit mindestens März 2022 aktiv ist. Ursprünglich arbeitete die Gruppe mit Ransomware, seit etwa März 2025 konzentriert sie sich ausschließlich auf Datendiebstahl und anschließende Erpressung. Gestohlene Daten werden bei Nichtzahlung auf der Leak-Plattform LEAKEDDATA (hxxps://business-data-leaks[.]com) veröffentlicht. Von Januar bis Mai 2026 griff die Gruppe laut Mandiant dutzende Organisationen im US-amerikanischen Rechts-, Finanz- und Gesundheitssektor an. Auch Versicherungsunternehmen sind betroffen.

Der Angriffsablauf

Der Angriff beginnt harmlos: Die Täter senden eine unauffällige, textbasierte E-Mail mit einem Rechnungsbezug von einem Consumer-Mailkonto, ohne bösartige Links oder Anhänge. Diese E-Mail dient einzig dazu, beim Opfer ein Sicherheitsbedenken zu wecken, damit es für einen anschließenden Anruf empfänglich ist.
Wenig später ruft ein angeblicher IT-Support-Mitarbeiter an, der sich als internes Helpdesk-Personal oder als Sicherheitsteam ausgibt. Unter dem Vorwand einer Sicherheitslücke oder eines anstehenden Datenmigrationsprojekts wird das Opfer gebeten, eine Screen-Sharing-Sitzung zu starten. Dabei nutzt die Gruppe handelsübliche Tools: Zoom, Microsoft Teams, Quick Assist, AnyDesk, Bomgar oder Zoho Assist. In einem dokumentierten Fall führten die Angreifer fünf Gespräche per Teams mit demselben Opfer über drei Tage hinweg. Installationslinks und Befehle werden dabei über privnote[.]com übermittelt, einen selbstzerstörenden Nachrichtendienst, der keine Spuren in Browser-Protokollen hinterlässt.

Datendiebstahl in großem Stil

Haben die Angreifer Zugriff, suchen sie gezielt nach sensiblen Dateien: Rechtsvereinbarungen, Mandantenakten, Personaldaten, Finanzunterlagen, Steuerformulare und Sozialversicherungsnummern. Zur Übertragung nutzen sie WinSCP, Rclone oder laden Dateien direkt per Browser in selbst kontrollierte Cloud-Konten hoch. In einem dokumentierten Fall wurden zunächst 1,7 GByte aus einem lokalen OneDrive-Ordner auf ein Google-Drive-Konto übertragen, anschließend über WinSCP weitere 14,4 GByte aus einer VDI-Umgebung gestohlen. In anderen Fällen wurden Opfer angewiesen, Dateien direkt aus der Anwaltssoftware iManage per E-Mail an die Angreifer zu versenden.

Wenn die Fernangriffe scheitern, eskalieren die Täter. Laut einer FBI-Warnung vom 26. Mai 2026 wurden Personen zu den Büros der Opfer entsandt, die sich vor Ort als IT-Support ausgaben. Unter dem Vorwand, ein Backup erstellen oder ein Sicherheitsproblem beheben zu müssen, erlangten sie Zugang zu Endgeräten und versuchten, Daten direkt per USB-Stick oder externer Festplatte abzuziehen. Diese physischen Zwischenfälle werden von GTIG mit hoher Wahrscheinlichkeit UNC3753 zugeordnet, auch wenn eine vollständige forensische Zuordnung in einigen Fällen noch aussteht.

Kurz nach dem Datendiebstahl, teils innerhalb von 30 Minuten nach Verlassen der Umgebung, trifft eine Erpressermail ein. Den Opfern werden drei Tage Zeit gegeben, um Verhandlungen aufzunehmen. Reagiert das Unternehmen nicht, drohen die Täter damit, Mitarbeiter, Kunden und Geschäftspartner direkt zu kontaktieren und die gestohlenen Daten zu veröffentlichen. Die Briefe erwähnen ausdrücklich regulatorische Konsequenzen, Klagen durch betroffene Kunden und Reputationsschäden.

Mögliche Indikatoren für Kompromittierung (IOCs)

Verdächtige IP-Adressen aus der Kampagne: 192.236.147.131, 192.236.147.138, 193.141.60.212, 192.236.154.158, 192.236.146.173, 174.169.162.62, 64.94.84.97
Verdächtige Domainmuster der Angreifer-Infrastruktur: <organisation>-itdesk[.]com, <organisation>-it[.]com, <organisation>-helpdesk[.]com