Vishing und Remote Access: der Doppelvektor, der die Erpressung an Rechtsbüros und Finanzinstitute auslöst

Sicherheitsforscher haben erneut eine Welle von gerichteter Erpressung dokumentiert, die stimmbasierte Social Engineering (vishing) Techniken mit Missbrauch von legitimen Remote Access-Tools kombiniert. Laut den Firmen, die die Ergebnisse veröffentlichten, hat die Gruppe, die als UNC3753 identifiziert wurde - auch in der Presse als Chatty Spider, Luna Moth oder Silent Ransom Group bekannt - das Vertrauen in die technische Unterstützung von Unternehmen genutzt, um Netzwerke von Rechtsbüros, Finanzdienstleistungen und professionelle Unternehmen in den Vereinigten Staaten zwischen Januar und Mai 2026 zu betreten.

Die zentrale Taktik ist einfach und effektiv: Erstellen Sie einen plausiblen Vorwand per E-Mail und schließen Sie den Deal per Telefon. Korreos ohne Links oder Anhänge, mit Fragen der Abrechnung oder Datenmigration, dienen nur, um einen Anruf zu rechtfertigen. Seit diesem Gespräch werden Opfer induziert, um Bildschirm-Sharing-Sitzungen zu starten und legitime Software wie AnyDesk, Zoho Assist oder kommerzielle RMM zu installieren, die es dem Angreifer ermöglicht, innerhalb der Umwelt zu bewegen, als ob es autorisiertes Personal wäre.

Beunruhigender ist die von den Behörden beschriebene Eskalation: Neben dem Fernzugriff haben die Akteure in mehreren Zwischenfällen physisch Mitarbeiter an die Büros geschickt, die als Techniker dienen, um Informationen über USB-Geräte oder externe Festplatten zu extrahieren. Dieser Doppelvektor - Social Engineering Remote und physische Präsenz - reduziert deutlich die Wirksamkeit von Perimeter-Kontrollen und Authentifizierung.

Die Folgen für Rechts- und Finanzbehörden sind besonders ernst. Diese Ziele konzentrieren sich auf Dokumente, die Handelsgeheimnisse, Unternehmensvereinbarungen, Steuererklärungen und sensible personenbezogene Daten enthalten; die Exposition dieses Materials hat regulatorische, namhafte und vertragliche Auswirkungen, die über die unmittelbaren Kosten einer Verhandlung mit Erpressern hinausgehen.

Aus technischer Sicht ist der Missbrauch von RMM- und Bildschirm-Sharing-Tools aus drei Gründen wirksam: Erstens sind sie Anwendungen, die für die Fernsteuerung ausgelegt sind und in der Regel durch IT-Richtlinien erlaubt sind; zweitens wird ihre Installation durch telefonisch geführte Anweisungen viele Warnungen übersehen; drittens werden Dateiübertragungen durch legitime Nutzungen wie WinSCP oder Rclone mit legitimem Verkehr und komplizierter Erkennung vermischt. Darüber hinaus vermeidet die Nutzung von Dienstleistungen, die Notizen senden, die selbstzerstört sind, um Anweisungen zu übertragen, permanente Social Engineering-Aufzeichnungen.

Was kann eine Organisation heute tun, um das Risiko zu reduzieren? Erstens, behandeln Sie unaufgeforderte technische Unterstützung Anrufe als mögliche Vorfälle: implementieren Sie eine separate Kanal-Verifikationspolitik (zurück zu einer bekannten Firmennummer, interne Ticket-Check) und trainieren Sie alle Mitarbeiter, nie Anlagen nach einem einzigen Anruf zu autorisieren. Zweite, begrenzen und steuern Remote Access-Tools: erlauben nur organisatorisch verwaltete Lösungen und wenden White Application Lists (AppLocker, MDM-Richtlinien), unzugelassene Verwaltungskonto-Einrichtung Sperrung und zentralisierte Überwachung von Remote-Sitzungen.

Im physischen Bereich stärken Sie die Kontrolle der Besucher und das Management externer Techniker: Vorabkontrolle, überprüfbare Anmeldeinformationen, körperliche Begleitung und Verbot der Verbindung von USB-Geräten mit empfindlichen Informationen. Auf der Infrastrukturebene stellen Sie Einschränkungen für abnehmbare Medien durch GPO oder UEFI / Firmware-Konfigurationen vor und betrachten Lösungen, die auf neuen RDP / AnyDesk-Verbindungen und auf der Ausführung von Dateiübertragungsdiensten frühzeitige Erkennungskapazitäten bieten.

Vorbereitung und Antwort sind der Schlüssel: Offline- und unveränderliche Backups, registrieren und einfrieren relevante Protokolle (Remote Access Log, Mail Records, MFA-Aufzeichnungen, VPN / VDI-Log, Videokonferenzplattformrekorde) und haben einen Antwortplan, der Rechtsberatung und kontrollierte Kommunikation mit Kunden umfasst. Nach einem Eindringen erhalten Sie Beweise (forensische Bilder) und kontaktieren Sie die zuständigen Behörden; melden und koordinieren Sie mit Einrichtungen wie dem FBI oder nationalen Cybersicherheitsbehörden hilft, Kampagnen zu erstellen und regionale Risiken zu mildern. Informationen zu Postbetrug und allgemeine Empfehlungen sind beim FBI verfügbar: https: / / www.fbi.gov / scams-and-safety / common-scams-and-crimes / business-email-compromise, und praktische Anleitungen für Ransomware und Erpressung Widerstand in der CISA: https: / / www.cisa.gov / ransomware.

Schließlich müssen Organisationen davon ausgehen, dass die Authentifizierung allein nicht ausreicht gegen gezielte Angriffe, die den menschlichen Faktor ausnutzen. Investieren Sie in realistische Sensibilisierungsprogramme (einschließlich Vernichtungsübungen), simulieren Sie technische Unterstützungsvorfälle und Überprüfungsverträge mit Dritten, die einen Fernzugriff auf empfindliche Systeme haben. Die Kombination von technischen Kontrollen, Prüfverfahren und physikalischer Überwachung reduziert das Gelegenheitsfenster, dass Akteure wie UNC3753 nutzen, um einen glaubwürdigen Aufruf zu einem Massendatenleck zu machen.