Arquivo revela operação estruturada de extorsão de dados
Um conjunto de documentos atribuído ao Silent Ransom Group (SRG), também conhecido como Luna Moth e UNC3753, descreve uma operação de extorsão baseada sobretudo em engenharia social. Em vez de depender de ferramentas inéditas ou de malwares sofisticados, o grupo teria organizado suas atividades em etapas e distribuído tarefas entre integrantes com funções específicas.
O material foi publicado em um site anônimo da rede Tor chamado The Luna Moth Files. Entre os arquivos estão registros de conversas, um roteiro empregado em campanhas de vishing – golpes que usam chamadas telefônicas -, capturas de tela e um currículo que seria de um funcionário fictício.
Pesquisadores da Check Point Software analisaram o conteúdo e destacaram a divisão de responsabilidades como um dos principais aspectos do material. A empresa, contudo, ressalta que o conjunto não foi autenticado de forma independente e apresenta inconsistências. Por isso, sua análise separa os dados compatíveis com informações já documentadas pelo FBI, pela Mandiant e pela Unit 42 daqueles que ainda não foram confirmados por outras fontes.
Uma operação dividida em etapas
Segundo os documentos, a atividade começaria com a pesquisa sobre as organizações escolhidas. Integrantes reuniriam dados sobre as empresas e criariam identidades profissionais plausíveis. Em seguida, operadores de contato usariam essas personas para conversar com funcionários e conquistar sua confiança.
Enquanto um integrante mantém a vítima ao telefone, operadores técnicos poderiam atuar no computador por meio de uma sessão remota. Por fim, negociadores conduziriam a etapa de extorsão e tentariam transformar os dados roubados em pagamento.
Essa divisão sugere um processo pensado para converter informações preliminares em acesso aos sistemas, coleta de arquivos e pressão sobre a organização. A estratégia não depende necessariamente de invadir uma rede explorando uma falha técnica: pode começar com uma abordagem convincente e levar a própria vítima a permitir o acesso.
O modelo se alinha a atividades atribuídas anteriormente ao Luna Moth. Em 2022, a Unit 42 descreveu campanhas de callback phishing nas quais as vítimas eram induzidas a ligar para números controlados pelos criminosos. Depois, eram direcionadas a iniciar sessões de suporte remoto usando programas legítimos de administração.
A Mandiant também registrou casos em que os atacantes se apresentavam como integrantes da equipe de tecnologia da própria empresa, alegando que precisavam prestar suporte ou migrar dados. O FBI, por sua vez, relatou tentativas de obter acesso físico depois de contatos remotos.
O telefone como ferramenta de coordenação
Um dos documentos do arquivo explica como os operadores deveriam conduzir as chamadas. Durante a sessão remota, a pessoa encarregada de conversar com a vítima permaneceria em contato com outros integrantes e repassaria mudanças no comportamento do funcionário.
Esse procedimento indica que a ligação poderia cumprir duas funções ao mesmo tempo: convencer a vítima a cooperar e coordenar o trabalho realizado no dispositivo. Enquanto uma pessoa controla a conversa, outra pode tentar navegar pelo computador e acessar informações.
O roteiro também parece explorar diferentes reações emocionais. O operador poderia demonstrar preocupação, tranquilizar o funcionário e, depois, recuperar o senso de urgência, apresentando o acesso remoto como uma medida de proteção. A alternância torna a abordagem mais convincente do que uma solicitação direta e inesperada.
Credibilidade construída antes do contato
Os registros mencionam domínios mantidos por períodos prolongados, contas de e-mail com aparência corporativa e sites que imitariam páginas comerciais. O material também faz referência a serviços de consulta de informações pessoais e à identificação de executivos e outros profissionais das empresas escolhidas.
Essa preparação permitiria que o criminoso se apresentasse com dados suficientes para passar por verificações simples. Uma mensagem ou ligação que mencione nomes, funções e assuntos relacionados à organização tende a parecer mais legítima, especialmente em um ambiente de trabalho movimentado.
O risco aumenta quando a abordagem se encaixa em uma situação plausível, como uma atualização de sistema, uma falha técnica ou uma migração de arquivos. Mesmo que o contato pareça rotineiro, aceitar uma sessão remota sem validar a identidade do solicitante pode entregar ao invasor uma oportunidade de acesso.
Escritórios de advocacia entre os alvos
O setor jurídico aparece com destaque nos registros analisados. Escritórios de advocacia costumam armazenar documentos confidenciais, dados pessoais e informações sobre disputas, transações e estratégias empresariais. A exposição desses arquivos pode representar um instrumento de pressão especialmente sensível.
O material também contém termos como “CHAT”, “OFFER”, “CONTRACT” e “GOLD”, associados a estimativas de receita, fases de negociação e pedidos de carteiras de criptomoedas. As expressões sugerem que os operadores acompanhariam as vítimas de maneira organizada, registrando o avanço de cada caso e possíveis valores envolvidos.
A referência a carteiras de criptomoedas indica uma forma de pagamento pretendida, mas, por si só, não comprova que todos os episódios descritos terminaram em transferências. Como o arquivo não foi validado integralmente, é necessário distinguir entre o que os documentos alegam e o que foi confirmado em investigações independentes.
O que as empresas podem fazer
O caso evidencia que ferramentas legítimas de acesso remoto também podem ser usadas em ataques. Por isso, bloquear apenas programas maliciosos não é suficiente: controles de identidade, procedimentos de suporte e treinamento dos funcionários são partes importantes da defesa.
Empresas devem estabelecer uma regra clara para confirmar solicitações de acesso remoto por um canal independente. Se alguém telefonar em nome da equipe de TI, o funcionário pode encerrar a chamada e procurar o suporte por meio de um número ou sistema interno já conhecido, em vez de usar os dados fornecidos pelo próprio interlocutor.
Também é recomendável limitar a instalação e o uso de ferramentas de administração remota, exigir autorização para sessões de suporte e registrar quando elas são iniciadas. A autenticação multifator e a concessão de privilégios mínimos reduzem o impacto caso uma conta seja comprometida ou um funcionário seja enganado.
A preparação para incidentes deve considerar ainda a possibilidade de roubo de dados sem implantação de ransomware. Uma organização pode ter arquivos copiados e ser ameaçada de divulgação mesmo que seus sistemas continuem funcionando. Planos de resposta precisam prever a preservação de evidências, a avaliação do material exposto e a comunicação com as áreas jurídica, de segurança e de gestão.
Por fim, os documentos atribuídos ao SRG oferecem um retrato possível de uma operação que combina pesquisa, persuasão, acesso técnico e negociação. Embora algumas alegações continuem sem confirmação, a estratégia descrita reforça uma lição essencial: uma chamada convincente pode ser o primeiro passo de um incidente de segurança, e a verificação de identidade deve fazer parte de qualquer atendimento remoto.