Luna Moth ruft als IT-Support an und erpresst Kanzleien

Anwaltskanzleien stellen 42 der 50 zuletzt beobachteten Opfer der Erpressergruppe Luna Moth, die als angebliche interne IT-Unterstützung Daten stiehlt und mit deren Veröffentlichung oder Verkauf droht. Ein anonym veröffentlichtes Archiv deutet auf verteilte Rollen hin, seine Angaben gelten jedoch als unbestätigt.

Verwandt: Wikimedia legt die Spuren von OpenAI-Agenten offen  ·  Cyber-Versicherung: Ohne Nachweise wackelt die Police

Ein Anruf aus der eigenen IT

Anrufer geben sich als interne IT-Unterstützung aus und sprechen von einer Datenmigration. Wer abhebt, soll seinen Bildschirm freigeben und anschließend ein Werkzeug zur Fernverwaltung installieren. Das Programm selbst ist legitim. IT-Abteilungen nutzen solche Software, um Rechner aus der Ferne zu warten. Hinter dem Anruf steht in diesen Fällen eine Erpressergruppe, die unter den Namen Luna Moth, Silent Ransom Group und UNC3753 geführt wird.

Unter den 50 zuletzt beobachteten Opfern der Gruppe sind 42 Anwaltskanzleien. Die Zahlen stammen aus einer am 9. Oktober veröffentlichten Auswertung von Uriel Sigal, Sicherheitsforscher im Exposure Management Team von Check Point. Im Mittelpunkt steht zudem ein anonym veröffentlichtes Archiv zu Luna Moth.

Was ist Remote Monitoring and Management? Remote Monitoring and Management, kurz RMM, bezeichnet legitime Software, mit der IT-Abteilungen und Dienstleister Rechner aus der Ferne überwachen und verwalten. Wer ein solches Werkzeug installiert und den Zugang freigibt, überlässt der Gegenseite weitreichende Kontrolle über das Gerät. Im Umfeld von Luna Moth bewegen Täter Beschäftigte unter Vorwänden wie einer Datenmigration dazu, solche Programme selbst zu installieren.

Erpressung ohne Verschlüsselung

Luna Moth verfolgt finanzielle Ziele. Die Gruppe stiehlt Daten und erpresst Organisationen mit der Drohung, das Material zu veröffentlichen oder zu verkaufen. Im Jahr 2022 setzte sie die Ransomware LOCKBIT.BLACK ein, also Schadsoftware, die Daten verschlüsselt und erst gegen Lösegeld wieder freigibt. Danach rückte Erpressung ohne Verschlüsselung in den Vordergrund.

Die jüngste Offenlegung liefert keine Belege für einen neuen Exploit, also Programmcode zum Ausnutzen einer Schwachstelle. Gleiches gilt für eine neue Ransomware-Schadkomponente. Der beschriebene Einstieg führt über das Telefon und über legitime Fernverwaltungswerkzeuge, die Beschäftigte selbst installieren.

Verteilte Rollen im Archiv

Die Herkunft des Archivs ist unbekannt. Ohne unabhängige Bestätigung gelten seine Behauptungen als unbestätigt. Die mutmaßlichen Beteiligten übernehmen im geleakten Material jeweils eigene Aufgaben: Zielrecherche, Anrufe, technische Unterstützung und Zahlungsabwicklung. Eine formale Hierarchie ist darin nicht belegt.

An mehreren Stellen bleibt das Material widersprüchlich. Die finanziellen Gesamtangaben des anonymen Veröffentlichers lassen sich nicht mit seinen Einzelbeträgen vereinbaren. Behauptungen über bestätigte Zahlungen brauchen eine unabhängige Bestätigung. Auch beim Thema falscher Beschäftigter klafft eine Lücke. Interne Diskussionen und Projektkonzepte dazu sind im Material besser belegt als eine erfolgreiche Einschleusung.

Falsche Techniker im Büro

Neben den Anrufen gibt es physische Einbrüche durch vermeintliche IT-Techniker. Nach Einschätzung der Google Threat Intelligence Group hängen sie wahrscheinlich mit UNC3753 zusammen. Wegen begrenzter forensischer Belege lassen sie sich jedoch nicht formal zuordnen. Die Eindringlinge treten dabei in derselben Rolle auf wie die Anrufer, als Personal der IT.

IT-Anfragen über einen zweiten Kanal prüfen

Die Empfehlungen aus der Check-Point-Auswertung richten sich an Sicherheitsteams. Eingehende IT-Anfragen sollen sie vor Fernzugriffen über einen bekannten separaten Kanal verifizieren. Außerdem sollen sie begrenzen, welche Fernzugriffswerkzeuge sich installieren lassen.

Auf der Ebene der Beschäftigten setzt Unit 42 von Palo Alto Networks an. Vor Softwareinstallationen sollen Beschäftigte die interne IT-Unterstützung über deren interne Supportkanäle konsultieren. Die angebliche Datenmigration aus dem Anruf käme so bei der tatsächlichen IT-Abteilung zur Sprache.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Wie reagieren Beschäftigte am besten auf eine verdächtige Rechnung?

Die Empfehlung von Unit 42 sieht vor, den Anbieter über dessen offizielle Kontaktkanäle anzusprechen. Damit lässt sich prüfen, ob die Forderung tatsächlich von ihm stammt.

Schützen fehlende Administratorrechte vor Datenabfluss?

In den von Unit 42 untersuchten Luna-Moth-Fällen verhinderten fehlende Administratorrechte die Installation dauerhafter Zugriffssoftware. Die Angreifer nutzten dann das Dateiübertragungsprogramm WinSCP Portable, das ohne Installation auskommt. Damit leiteten sie Daten im Benutzerkontext ab.

Setzt Luna Moth Deepfakes ein?

Deepfakes sind mit künstlicher Intelligenz erzeugte, täuschend echte Stimmen oder Videos. Behauptungen über einen Deepfake-Einsatz der Gruppe liegen vor, brauchen aber eine unabhängige Bestätigung. Belastbare Belege dafür fehlen derzeit.

Lesetipps der Redaktion

LesetippWenn gekaufte KI-Router Schadcode einschleusenLesetippKnowBe4: Ein Link startet drei Phishing-WegeLesetippWenn der Pentest-Agent die Seiten wechselt

Mehr aus dem MBF Media Netzwerk

cloudmagazinDenodo: Datenlücke bremst KI in Behörden MyBusinessFutureKeine Zeit für KI wird zum Personalrisiko Digital ChiefsCIOs sollten KI-Lernzeit fest in die Arbeitszeit einplanen

Bildquelle: KI-generiert (Oktober 2026)