Luna Moth organisiert Datenerpressung wie ein Unternehmen

Die Analyse von Sicherheitsforschern bei Check Point zeigt, wie die Gruppe offenbar Recherche, Telefonbetrug, technischen Fernzugriff und Erpressungsverhandlungen miteinander verbindet, um sensible Unternehmensdaten zu stehlen.

Arbeitsteilung statt klassischer Ransomware

Das am 5. Oktober 2026 veröffentlichte Material enthält Chat-Protokolle, ein Dokument mit Anweisungen für Telefonanrufe, Screenshots und einen mutmaßlich gefälschten Lebenslauf. Wer das Archiv veröffentlicht hat und wie die Daten beschafft wurden, ist bislang unbekannt. Neue Schadsoftware oder bislang unbekannte Exploits enthält das Paket nach Angaben der Forscher nicht.

Die Silent Ransom Group setzt vor allem auf Datendiebstahl und anschließende Erpressung. Anders als bei klassischen Ransomware-Angriffen verschlüsselt die Gruppe die Systeme ihrer Opfer in der Regel nicht. Stattdessen verschafft sie sich durch Täuschung Zugang, kopiert vertrauliche Informationen und droht mit deren Veröffentlichung oder Verkauf.

Die Aktivitäten wurden 2022 unter dem Begriff Callback-Phishing bekannt. Dabei erhielten Betroffene vermeintliche Abonnementabrechnungen mit Telefonnummern, über die sie Kontakt zu den Angreifern aufnehmen sollten. Im weiteren Verlauf wurden sie dazu gebracht, legitime Fernwartungssoftware zu starten.

Telefonbetrug schafft den Zugang

Frühere Untersuchungen, unter anderem von Google Mandiant und dem FBI, dokumentierten weitere Vorgehensweisen der Gruppe. Angreifer gaben sich demnach als interne IT-Mitarbeiter aus und begründeten ihre Kontaktaufnahme beispielsweise mit Helpdesk-Anfragen oder geplanten Datenmigrationen. Neben Fernwartungsprogrammen kamen Bildschirmfreigaben und Dateifreigabedienste zum Einsatz. In einzelnen Fällen sollen Täter nach gescheiterten Fernzugriffsversuchen sogar versucht haben, sich physischen Zugang zu verschaffen.

Die nun geleakten Unterlagen geben Hinweise darauf, wie solche Angriffe organisiert werden. Ein Teil der Beteiligten recherchiert Unternehmen und entwickelt glaubwürdige Identitäten. Andere führen die Telefonate, unterstützen den technischen Zugriff oder übernehmen Verhandlungen und Zahlungsabwicklung.

Ein internes Anrufskript verdeutlicht die Koordination: Während der Anrufer das Opfer im Gespräch hält, soll er parallel einen separaten Gruppenchat beobachten und Veränderungen im Verhalten der betroffenen Person melden. Das legt nahe, dass weitere Beteiligte gleichzeitig technische Schritte am Zielsystem ausführen.

Vorbereitung und psychologischer Druck

Die Chats enthalten Hinweise auf die Beschaffung geschäftlicher E-Mail-Adressen, langlebiger Domains und professionell gestalteter Websites. Außerdem sollen kommerzielle Datendienste genutzt worden sein, um Informationen über Unternehmen und Führungskräfte zusammenzutragen.

Auf dieser Grundlage können die Anrufer eine vermeintlich plausible berufliche Identität aufbauen. Die Gesprächsführung verbindet offenbar Verunsicherung mit Beruhigung und erzeugt anschließend erneut Zeitdruck. Der Fernzugriff wird dabei als notwendige Sicherheitsprüfung oder regulärer IT-Prozess dargestellt.

Die Angriffe beruhen somit nicht allein auf technischer Manipulation. Entscheidend ist auch, dass die Täter den geschäftlichen Kontext ihrer Opfer kennen und deren Vertrauen gezielt ausnutzen.

Anwaltskanzleien besonders häufig betroffen

Die veröffentlichten Chats enthalten verschiedene Kategorien zur Verwaltung potenzieller Opfer und laufender Verhandlungen. Begriffe wie „CHAT“, „OFFER“, „CONTRACT“ und „GOLD“ stehen neben Umsatzschätzungen, Verhandlungsständen und Anfragen zu Kryptowährungs-Wallets.

Ein deutlicher Schwerpunkt liegt laut der Analyse auf dem Rechtssektor. Von den 50 zuletzt beobachteten Opfern waren 42 Anwaltskanzleien. Im gesamten Datensatz entfallen 69 Einträge auf den Bereich Business Services, 22 auf Finanzen und zwei auf Immobilien. Die Unterlagen verweisen zudem auf das Ziel, große internationale Anwaltskanzleien ins Visier zu nehmen.

Die Zahlen unterstreichen, dass die Auswahl der Opfer offenbar systematisch erfolgt. Kanzleien und Beratungsunternehmen können für Angreifer besonders interessant sein, weil sie mit vertraulichen Mandanteninformationen und sensiblen Geschäftsdaten arbeiten.

Schutzmaßnahmen müssen beim Vertrauen ansetzen

Aus Sicht der Check-Point-Forscher reichen Schutzmaßnahmen, die ausschließlich auf Schadsoftware ausgerichtet sind, bei dieser Angriffsform nicht aus. Unternehmen sollten deshalb insbesondere ihre Prozesse für IT-Anfragen und Fernzugriffe überprüfen.

Mitarbeiter sollten die Identität vermeintlicher IT-Supportmitarbeiter über einen unabhängigen, bereits bekannten Kommunikationskanal bestätigen, bevor sie Fernzugriff gewähren. Zusätzlich empfiehlt es sich, die Installation nicht freigegebener Fernwartungsprogramme einzuschränken und Führungskräfte gezielt für solche Betrugsversuche zu sensibilisieren.

Auch die Überwachung verdächtiger Domains und gefälschter Unternehmensidentitäten kann helfen, Angriffe frühzeitig zu erkennen. Für Organisationen mit besonders schützenswerten Daten ist es zudem sinnvoll, offengelegte Mitarbeiterinformationen und mögliche Hinweise auf geplante Angriffe im Blick zu behalten.

Die Analyse des geleakten Archivs zeichnet das Bild einer arbeitsteilig organisierten Datenerpressung. Recherche, Gesprächsführung, technischer Zugriff und Verhandlung greifen offenbar ineinander. Der zentrale Angriffspunkt ist dabei nicht allein die Technik, sondern das Vertrauen, das die Täter durch gezielte Vorbereitung und glaubwürdige Kommunikation aufbauen.

(red/Check Point)