Die Silent Ransom Group – auch als Luna Moth bekannt – ist eine Erpressergruppe, die aus dem Umfeld der zerschlagenen Conti-Bande hervorgegangen ist. Sie verschlüsselt nichts. Stattdessen ruft sie Mitarbeitende an, gibt sich als interne IT-Abteilung aus und bringt sie dazu, eine Fernwartungssoftware zu installieren. Danach werden Daten abgezogen und das Unternehmen mit deren Veröffentlichung erpresst.
Weil kein Schadcode ausgeführt und keine Sicherheitslücke ausgenutzt wird, schlagen klassische Schutzsysteme oft nicht an: Die eingesetzten Fernwartungswerkzeuge sind legitime Software, und der Mitarbeitende gewährt den Zugang freiwillig. Im Visier stehen vor allem Kanzleien sowie Finanz- und Beratungsunternehmen – also Organisationen mit besonders sensiblen Mandanten- und Kundendaten. Das FBI hat 2025 und erneut im Mai 2026 mit einem FLASH-Advisory vor der Gruppe gewarnt.
Aktiv
Geschlossene Gruppe ohne Partnerprogramm; reine Datenerpressung ohne Verschlüsselung
Luna Moth, UNC3753, Chatty Spider
Aktiv seit 2022; erste eigene Leak-Site-Einträge ab Mai 2025
Ehemaliges Conti-Team – die Gruppe betrieb zuvor die BazarCall-Callback-Phishing-Kampagnen, die Conti und Ryuk den Erstzugang lieferten
Nicht offiziell zugeordnet; russischsprachiges Cybercrime-Umfeld (Conti-Nachfolgeszene)
Recht (Schwerpunkt Anwaltskanzleien), Finanzdienstleistungen, Professional Services, vereinzelt Hotellerie und Fertigung
überwiegend USA, dazu Kanada und Großbritannien. Ein DACH-Fall ist bislang nicht belegt – die auf Trackern als „Deutschland“ geführten Einträge betreffen US-Kanzleien und sind Fehlzuordnungen. Die Masche ist auf DACH-Kanzleien ohne Weiteres übertragbar.
nicht öffentlich beziffert; Erpressungsschreiben setzen eine Frist von drei Tagen zur Kontaktaufnahme
über 120 gelistete Opfer, davon rund 110 in den USA; im Sommer 2026 stark steigende Veröffentlichungsrate (Stand: 17. August 2026)
keine (reine Datenerpressung, es wird nicht verschlüsselt)
keine Datei im System – die Forderung kommt per E-Mail und Telefon, mit Drei-Tage-Frist
Keine eigene Schadsoftware. Genau das macht die Gruppe so schwer greifbar: Es gibt keinen Verschlüsseler, keine ausgenutzte Sicherheitslücke und keine Signatur, auf die ein Virenscanner anschlagen könnte.
Missbrauchte Fernwartungssoftware: AnyDesk, Zoho Assist, Bomgar und SuperOps – durchweg legitime, oft sogar im Unternehmen bekannte Produkte. Der Zugang erfolgt zudem über Microsoft Teams, Zoom, Quick Assist und Terminaldienste.
Werkzeuge für den Datenabzug: WinSCP und Rclone – ebenfalls reguläre Administrationswerkzeuge.
Konsequenz für die Abwehr: Erkennen lässt sich der Angriff nur über das Verhalten – eine plötzlich neu installierte Fernwartungssoftware, ein ungewöhnlicher Fernzugriff außerhalb der Geschäftszeiten oder ein großer Upload zu einem Cloud-Speicher.
Gegen diese Gruppe hilft kein Virenscanner – sie bringt keinen Schadcode mit. Das Argos Cyber Defense Center setzt deshalb auf Verhaltenserkennung: neu auftauchende Fernwartungssoftware, Fernzugriffe von unbekannten Gegenstellen und auffällige Datenabflüsse über WinSCP oder Rclone. Genau diese Signale trennen den Angriff vom normalen Arbeitsalltag.
Ergänzend härten wir Ihre Helpdesk- und Identitätsprozesse, schulen Mitarbeitende gezielt auf gefälschte IT-Anrufe und übernehmen im Ernstfall die Incident Response – einschließlich der forensischen Bestimmung, welche Daten tatsächlich abgeflossen sind, und der Behördenmeldungen.