Nhóm tấn công UNC3753 kết hợp giả mạo hỗ trợ kỹ thuật và xâm nhập vật lý để tống tiền dữ liệu
"Google Mandiant reported that the extortion group UNC3753, also known as Luna Moth, Chatty Spider, and Silent Ransom Group, targeted dozens of U.S. banks, law firms, and professional services firms using help desk impersonation, vishing, and screen-sharing to gain access to corporate environments. In some cases, attackers also attempted physical office intrusions with USB sticks to steal data directly; the activity is fast-moving, with exfiltration and extortion often occurring within hours, and mitigation focuses on visitor controls, device trust, and blocking unauthorized remote support tools."
Tác động bảo mật nghiêm trọng do xâm nhập vật lý kết hợp lừa đảo trực tuyến, trích xuất dữ liệu nhạy cảm nhanh chóng, khó phát hiện và ngăn chặn kịp thời.
Ảnh hưởng vận hành ở mức cao với nguy cơ rò rỉ dữ liệu khách hàng, gián đoạn hoạt động và tổn thất uy tín doanh nghiệp.
Theo báo cáo mới từ nhóm phản ứng sự cố của Google Mandiant, nhóm tấn công UNC3753 (còn gọi là Luna Moth, Chatty Spider, Silent Ransom Group) đã nhắm mục tiêu vào hàng chục ngân hàng, công ty luật và doanh nghiệp dịch vụ chuyên nghiệp tại Mỹ từ đầu năm 2025. Nhóm này sử dụng kỹ thuật giả mạo nhân viên hỗ trợ kỹ thuật, gọi điện thoại lừa đảo (vishing) và chia sẻ màn hình để truy cập vào hệ thống CNTT doanh nghiệp. Đáng chú ý, khi các phương thức trực tuyến không thành công, kẻ tấn công còn xâm nhập trực tiếp vào văn phòng, giả danh kỹ thuật viên IT và sử dụng USB để đánh cắp dữ liệu.
Quy trình tấn công diễn ra rất nhanh, từ tiếp cận đến tống tiền thường chỉ trong vòng vài giờ. Nhóm này thường bắt đầu bằng email hóa đơn không chứa mã độc, sau đó gọi điện để thuyết phục nạn nhân tham gia phiên chia sẻ màn hình qua Zoom, Microsoft Teams, Quick Assist hoặc các nền tảng tương tự. Sau khi truy cập, kẻ tấn công tìm kiếm và trích xuất các dữ liệu nhạy cảm như hồ sơ thuế, hợp đồng khách hàng, số an sinh xã hội bằng các công cụ như WinSCP, Rclone hoặc tải lên dịch vụ chia sẻ file.
Khuyến nghị kỹ thuật gồm: kiểm soát chặt chẽ khách đến văn phòng, xác thực danh tính kỹ thuật viên, giám sát truy cập thiết bị, áp dụng chính sách truy cập điều kiện cho thiết bị từ xa, và chặn cài đặt các công cụ hỗ trợ từ xa không được phép.