Arquivo revela operação estruturada de extorsão de dados
Um conjunto de materiais atribuído ao Silent Ransom Group (SRG), também conhecido como Luna Moth e UNC3753, descreve uma operação de extorsão organizada em etapas e conduzida por pessoas com funções diferentes. O conteúdo teria sido divulgado em um site anônimo na rede Tor e inclui registros de conversas, um roteiro para campanhas de vishing, capturas de tela e o suposto currículo de um funcionário fictício.
Pesquisadores da Check Point Software analisaram os arquivos e identificaram como principal revelação a divisão do trabalho dentro do grupo. O material não apresenta novos malwares ou vulnerabilidades. Em vez disso, mostra como os criminosos poderiam combinar pesquisa prévia, engenharia social, acesso remoto e negociação para roubar informações e pressionar as organizações a pagar.
Há, porém, uma ressalva importante: os arquivos não foram verificados de forma independente e contêm algumas inconsistências. Por isso, a análise distingue os elementos compatíveis com registros anteriores do FBI, da Mandiant e da Unit 42 daquelas alegações que ainda não receberam confirmação externa.
Uma operação dividida em funções
Segundo os documentos, a atividade começaria com a pesquisa das organizações escolhidas. Nessa fase, integrantes reuniriam informações sobre a empresa e preparariam identidades profissionais plausíveis. Em seguida, operadores de contato usariam essas personas para conversar com funcionários e ganhar sua confiança.
Enquanto uma pessoa conduz a interação, operadores técnicos poderiam atuar nos dispositivos durante sessões remotas. Negociadores entrariam em cena posteriormente, com a tarefa de transformar o roubo de dados em pagamento. Essa separação de responsabilidades permitiria aproveitar informações coletadas de antemão e coordenar diferentes momentos do ataque.
O modelo se aproxima de práticas anteriormente associadas ao Luna Moth. Em 2022, a Unit 42 descreveu campanhas de callback phishing nas quais as vítimas eram induzidas a ligar para números controlados pelos criminosos. Depois, eram convencidas a iniciar sessões com ferramentas legítimas de administração remota.
A Mandiant também registrou situações em que os atacantes se apresentavam como integrantes da equipe interna de TI, usando justificativas como suporte técnico ou migração de dados. O FBI, por sua vez, relatou tentativas de obter acesso físico depois de abordagens feitas remotamente.
Ligações usadas para coordenar o ataque
Um dos documentos do pacote explica como os operadores deveriam conduzir as chamadas. Durante uma sessão remota, a pessoa responsável pela conversa permaneceria em contato com a vítima e comunicaria aos demais participantes qualquer mudança em seu comportamento.
Esse procedimento sugere que outro operador poderia trabalhar simultaneamente no dispositivo enquanto o primeiro mantinha a conversa. Assim, a ligação teria duas finalidades: influenciar as decisões do funcionário e coordenar as ações realizadas durante o acesso remoto.
Os registros também apontam para uma preparação cuidadosa. O grupo teria mantido domínios por períodos prolongados, usado contas corporativas de e-mail e criado sites com aparência comercial. Os arquivos mencionam ainda serviços de consulta a informações pessoais e a identificação de executivos e profissionais das empresas escolhidas.
Com esses dados, os operadores poderiam iniciar o contato demonstrando familiaridade com a organização. O roteiro descrito alterna preocupação, tranquilização e senso de urgência, apresentando o acesso remoto como uma medida necessária para proteger a empresa. A estratégia busca reduzir a desconfiança sem abandonar a pressão sobre a vítima.
Escritórios de advocacia entre os alvos
O setor jurídico aparece com destaque nos registros analisados. Escritórios de advocacia podem concentrar informações confidenciais de clientes, documentos de processos e dados comerciais cuja exposição representa um risco elevado. Essa combinação torna o roubo de arquivos potencialmente útil para pressionar tanto a organização quanto as pessoas e empresas ligadas a ela.
Os materiais também parecem acompanhar as vítimas ao longo da negociação. Termos como CHAT, OFFER, CONTRACT e GOLD aparecem associados a etapas do processo, estimativas de receita e pedidos de carteiras de criptomoedas. Os rótulos sugerem um método para organizar contatos, propostas e expectativas de pagamento.
Além da atividade digital, os relatos anteriores do FBI sobre tentativas de acesso físico indicam que a ameaça pode não terminar na tela. Embora essa prática não deva ser tratada como confirmada para todos os casos, ela reforça a importância de que empresas considerem riscos presenciais ao avaliar incidentes e abordagens suspeitas.
Como reduzir o risco
Uma chamada convincente não comprova que a pessoa do outro lado seja funcionária de TI, prestadora de serviços ou representante legítima. Pedidos para instalar programas, abrir sessões de suporte ou compartilhar credenciais devem ser confirmados por um canal independente, usando contatos e procedimentos internos previamente estabelecidos.
As empresas também podem restringir o uso de ferramentas de acesso remoto, permitindo sua execução apenas quando autorizada e monitorada. Alertas para instalações incomuns, logins fora do padrão e alterações inesperadas em dispositivos ajudam a identificar atividades suspeitas enquanto ainda estão em andamento.
Treinamentos de segurança são mais eficazes quando simulam situações plausíveis, como uma ligação de suporte que combina detalhes corretos da empresa com um pedido urgente. Os funcionários precisam saber que podem interromper a conversa e validar a solicitação sem receio de prejudicar uma operação legítima.
Por fim, planos de resposta a incidentes devem prever a preservação de registros, a interrupção segura de sessões remotas e a comunicação rápida entre as equipes de tecnologia, segurança, jurídico e liderança. A análise do material atribuído ao SRG não confirma, por si só, cada detalhe descrito, mas evidencia um risco conhecido: atacantes podem obter acesso e dados sem depender de uma ferramenta inédita, explorando confiança, informação pública e processos internos.