Threat Intelligence

Silent Ransom Group

Der Anruf kommt aus der eigenen IT: Silent Ransom Group verschlüsselt nichts, sondern erschleicht sich per gefälschtem Helpdesk-Anruf Fernzugriff und stiehlt Mandantendaten.

Kurz erklärt

Die Silent Ransom Group – auch als Luna Moth bekannt – ist eine Erpressergruppe, die aus dem Umfeld der zerschlagenen Conti-Bande hervorgegangen ist. Sie verschlüsselt nichts. Stattdessen ruft sie Mitarbeitende an, gibt sich als interne IT-Abteilung aus und bringt sie dazu, eine Fernwartungssoftware zu installieren. Danach werden Daten abgezogen und das Unternehmen mit deren Veröffentlichung erpresst.

Weil kein Schadcode ausgeführt und keine Sicherheitslücke ausgenutzt wird, schlagen klassische Schutzsysteme oft nicht an: Die eingesetzten Fernwartungswerkzeuge sind legitime Software, und der Mitarbeitende gewährt den Zugang freiwillig. Im Visier stehen vor allem Kanzleien sowie Finanz- und Beratungsunternehmen – also Organisationen mit besonders sensiblen Mandanten- und Kundendaten. Das FBI hat 2025 und erneut im Mai 2026 mit einem FLASH-Advisory vor der Gruppe gewarnt.

Aktiv

Modell

Geschlossene Gruppe ohne Partnerprogramm; reine Datenerpressung ohne Verschlüsselung

Auch bekannt als

Luna Moth, UNC3753, Chatty Spider

Gegründet

Aktiv seit 2022; erste eigene Leak-Site-Einträge ab Mai 2025

Entstanden aus

Ehemaliges Conti-Team – die Gruppe betrieb zuvor die BazarCall-Callback-Phishing-Kampagnen, die Conti und Ryuk den Erstzugang lieferten

Herkunft

Nicht offiziell zugeordnet; russischsprachiges Cybercrime-Umfeld (Conti-Nachfolgeszene)

Zielsektoren

Recht (Schwerpunkt Anwaltskanzleien), Finanzdienstleistungen, Professional Services, vereinzelt Hotellerie und Fertigung

Zielregionen

überwiegend USA, dazu Kanada und Großbritannien. Ein DACH-Fall ist bislang nicht belegt – die auf Trackern als „Deutschland“ geführten Einträge betreffen US-Kanzleien und sind Fehlzuordnungen. Die Masche ist auf DACH-Kanzleien ohne Weiteres übertragbar.

Typisches Lösegeld

nicht öffentlich beziffert; Erpressungsschreiben setzen eine Frist von drei Tagen zur Kontaktaufnahme

Opferzahl

über 120 gelistete Opfer, davon rund 110 in den USA; im Sommer 2026 stark steigende Veröffentlichungsrate (Stand: 17. August 2026)

File Extensions

keine (reine Datenerpressung, es wird nicht verschlüsselt)

Ransom Note

keine Datei im System – die Forderung kommt per E-Mail und Telefon, mit Drei-Tage-Frist

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Die Fernwartungssitzung sofort beenden und den betroffenen Rechner vom Netz nehmen, aber nicht ausschalten – die Spuren der Sitzung sind der wichtigste Beweis.
  • Die installierte Fernwartungssoftware nicht deinstallieren, bevor sie forensisch gesichert ist – Installationszeitpunkt und Gegenstelle belegen den Angriffsweg.
  • Zugangsdaten des betroffenen Nutzers zurücksetzen und alle aktiven Sitzungen beenden.
  • Umfang des Datenabflusses ermitteln: Proxy-, Firewall- und Cloud-Protokolle auf Uploads prüfen, insbesondere über WinSCP oder Rclone – hier entscheidet sich, welche Mandantendaten betroffen sind.
  • Alle Mitarbeitenden umgehend warnen – die Täter rufen nach einem misslungenen Versuch häufig weitere Personen im Haus an.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); bei Kanzleien zusätzlich die berufsrechtliche Verschwiegenheitspflicht bedenken. BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Sich nicht von der Drei-Tage-Frist unter Druck setzen lassen – der Zeitdruck ist Teil der Masche.
  • Den Vorfall nicht als harmlos abtun, nur weil nichts verschlüsselt wurde – der Schaden liegt vollständig im Datenabfluss.
  • Am Telefon keine Fernwartung zulassen und keine Software installieren, solange die Identität des Anrufers nicht über einen eigenen, bekannten Kanal bestätigt ist – nie über die vom Anrufer genannte Nummer zurückrufen.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR- und Verhandlungsexperten.
  • Den betroffenen Rechner nicht neu aufsetzen, bevor die Forensik gesichert ist.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • FBI-FLASH-Advisory (Mai 2026) – das FBI warnte erneut ausdrücklich vor der Silent Ransom Group, die sich als IT-Personal ausgibt; ein erstes Advisory zu Angriffen auf US-Kanzleien erschien bereits im Mai 2025.
  • Kampagne gegen Kanzleien (Januar bis Mai 2026) – Dutzende Organisationen aus Recht, Finanzwesen und Beratung wurden in einer zusammenhängenden Welle angegriffen.
  • Großkanzleien im Sommer 2026 – im Juli und August 2026 erschienen mehrere namhafte US-Kanzleien auf der Leak-Site; das Veröffentlichungstempo stieg gegenüber dem Vormonat deutlich an.

Angriffstechniken (TTPs)

  • Erstzugang – Variante 1 (Callback-Phishing): harmlos wirkende Rechnungs- oder Abo-Mail von einem Consumer-Konto, ohne Link und ohne Anhang. Sie enthält nur eine Rückrufnummer – deshalb greift kein Mail-Filter.
    • Am Telefon führen die Täter das Opfer zur Installation einer Fernwartungssoftware
    • MITRE: T1566.004 (Voice Phishing / Callback), T1204 (Nutzerausführung)
  • Erstzugang – Variante 2 (direkter Helpdesk-Anruf): Anruf ohne vorherige Mail, die Täter geben sich als interne IT aus und bitten um eine Fernwartungssitzung über Microsoft Teams, Zoom, Quick Assist oder Terminaldienste.
    • Seit 2025 der bevorzugte Weg – schneller und unauffälliger als der Umweg über die Mail
    • MITRE: T1656 (Identitätsvortauschung), T1078
  • Zugriff und Sammlung: über die legitime Fernwartungssoftware wird im Kontext des angemeldeten Nutzers gearbeitet – ohne Schadcode, ohne Exploit.
    • Gezielte Suche nach Mandanten-, Vertrags- und Finanzunterlagen (T1005)
    • Vereinzelt dokumentiert: Datendiebstahl direkt vor Ort per USB-Datenträger
  • Exfiltration: Abzug mit den legitimen Werkzeugen WinSCP und Rclone (T1567) – in Netzwerkprotokollen kaum von normalem Datenverkehr zu unterscheiden.
  • Erpressung: keine Verschlüsselung. Erpressungsschreiben per E-Mail mit Drei-Tage-Frist, Nachdruck durch Anrufe bei Führungskräften, danach Veröffentlichung auf der Leak-Site (T1657).

Technologie & Malware

Keine eigene Schadsoftware. Genau das macht die Gruppe so schwer greifbar: Es gibt keinen Verschlüsseler, keine ausgenutzte Sicherheitslücke und keine Signatur, auf die ein Virenscanner anschlagen könnte.

Missbrauchte Fernwartungssoftware: AnyDesk, Zoho Assist, Bomgar und SuperOps – durchweg legitime, oft sogar im Unternehmen bekannte Produkte. Der Zugang erfolgt zudem über Microsoft Teams, Zoom, Quick Assist und Terminaldienste.

Werkzeuge für den Datenabzug: WinSCP und Rclone – ebenfalls reguläre Administrationswerkzeuge.

Konsequenz für die Abwehr: Erkennen lässt sich der Angriff nur über das Verhalten – eine plötzlich neu installierte Fernwartungssoftware, ein ungewöhnlicher Fernzugriff außerhalb der Geschäftszeiten oder ein großer Upload zu einem Cloud-Speicher.

Indicators of Compromise (IOCs)

  • Keine File Extension, keine Ransom-Note-Datei – es wird nicht verschlüsselt
  • Verhaltensindikator 1: Fernwartungssoftware (AnyDesk, Zoho Assist, Bomgar, SuperOps), die ohne Ticket oder Freigabe neu auf einem Arbeitsplatz auftaucht
  • Verhaltensindikator 2: WinSCP- oder Rclone-Prozesse auf Arbeitsplätzen, auf denen sie fachlich nichts zu suchen haben
  • Verhaltensindikator 3: großvolumige Uploads zu Cloud-Speichern außerhalb der Geschäftszeiten
  • Verhaltensindikator 4: Quick-Assist- oder Teams-Sitzung mit einer externen, nicht verifizierten Gegenstelle
  • Social-Engineering-Indikator: Rechnungsmail von einer Freemail-Adresse, die ausschließlich eine Telefonnummer enthält; oder ein IT-Anruf, der zur sofortigen Installation einer Software drängt
  • Leak-Site: business-data-leaks.com

Was Unternehmen jetzt prüfen sollten

  • Verbindlicher Rückruf-Prozess: Bei jedem IT-Anruf ruft der Mitarbeitende über die intern hinterlegte Helpdesk-Nummer zurück – niemals über eine vom Anrufer genannte Nummer
  • Installation von Fernwartungssoftware technisch unterbinden (Application Control) und ein Ticket zur Voraussetzung machen
  • Quick Assist und Teams-Fernsteuerung für externe Gegenstellen sperren
  • Alarmierung auf WinSCP-/Rclone-Nutzung und ungewöhnlich große Cloud-Uploads
  • Mitarbeitende gezielt auf Callback-Phishing und gefälschte IT-Anrufe schulen – hier entscheidet sich der Angriff, nicht in der Technik
  • Zugriff auf Mandanten- und Vertragsablagen nach dem Need-to-know-Prinzip begrenzen
  • Krisen- und Meldeprozesse (DSGVO 72 h, NIS2 24 h) vorbereitet und geübt

Wie Argos unterstützt

Gegen diese Gruppe hilft kein Virenscanner – sie bringt keinen Schadcode mit. Das Argos Cyber Defense Center setzt deshalb auf Verhaltenserkennung: neu auftauchende Fernwartungssoftware, Fernzugriffe von unbekannten Gegenstellen und auffällige Datenabflüsse über WinSCP oder Rclone. Genau diese Signale trennen den Angriff vom normalen Arbeitsalltag.

Ergänzend härten wir Ihre Helpdesk- und Identitätsprozesse, schulen Mitarbeitende gezielt auf gefälschte IT-Anrufe und übernehmen im Ernstfall die Incident Response – einschließlich der forensischen Bestimmung, welche Daten tatsächlich abgeflossen sind, und der Behördenmeldungen.