En bølge av cyberangrep rettet mot hedgefond, private equity-selskaper og andre finansorganisasjoner har blitt knyttet til utpressingsgruppen UNC6671.
Nylige rapporter sier at angriperne rettet seg mot Point72 Asset Management, Millennium Management, Two Sigma Investments, Citadel og flere private equity-selskaper. Kampanjene skal ha basert seg på stemmebasert phishing, eller vishing, for å lure ansatte til å gi angriperne tilgang til bedriftens systemer.
Googles Threat Intelligence Group, kjent som GTIG, sporer aktiviteten under betegnelsen UNC6671. Ifølge Google opererte gruppen tidligere offentlig som BlackFile og har siden brukt flere ulike utpressingsnavn.
Store finansselskaper rammes av vishingangrep
Angriperne skal ha kontaktet ansatte på deres private mobiltelefoner og utgitt seg for å være bedriftens helpdeskpersonell.
Under samtalene fortalte operatørene ofrene at de måtte registrere passnøkler eller oppdatere innstillingene for flerfaktorautentisering. Deretter sendte de de ansatte til falske nettsteder som etterlignet selskapene deres.
Nettstedene brukte adversary-in-the-middle-phishingverktøy for å fange opp brukernavn, passord og sesjonsinformasjonskapsler i sanntid. Slike informasjonskapsler kan gjøre det mulig for angripere å omgå enkelte autentiseringsmekanismer fordi de gir tilgang til en allerede autentisert kontoøkt.
Når angriperne fikk tilgang til en Microsoft 365- eller Okta-konto for single sign-on, kunne de nå skytjenester som var knyttet til kontoen gjennom organisasjonens SSO-panel.
Google sier at operatørene deretter bruker automatiserte verktøy til å samle inn data fra skyplattformer. De kan også slette sikkerhetsvarsler og meldinger om tilbakestilling av passord fra kompromitterte e-postkontoer for å forsinke oppdagelsen.
BlackFile skal ha skiftet fokus til finanssektoren
BlackFile dukket først opp i februar 2025, da gruppen rettet seg mot organisasjoner innen detaljhandel og hotell- og restaurantbransjen. Trusselforskere sier at gruppen i juli 2026 skiftet fokus mot hedgefond, private equity-selskaper, store advokatfirmaer og finansielle ratingbyråer.
Før dette skiftet skal operatørene ha angrepet selskaper innen produksjon, helsevesen, eiendom, teknologi, transport og hotellvirksomhet.
Austin Larsen, principal threat analyst i GTIG, sa at én sentral inntrengningsgruppe ser ut til å stå bak helpdeskbaserte vishingangrep og tyveri av skydata under flere offentlige utpressingsnavn.
Google knytter utpressingsgruppen UNC6671 til BlackFile, Redact, Pink, Helix og Falcon. BlackFile kunngjorde i mai at gruppen ville endre navn til Redact.
Ifølge Larsen sporet GTIG mer enn 10,6 millioner dollar i Bitcoin-betalinger til gruppens lommebøker mellom januar og mai 2026. Operatørene kan i utgangspunktet kreve mer enn 3 millioner dollar, men Google sier at de ofte inngår avtaler på rundt 750 000 dollar etter forhandlinger.
Falcon bestrider den bredere attribusjonen
Utpressingsgruppen Falcon har utfordret deler av trusselanalysen.
I en uttalelse publisert på gruppens lekkasjeside hevdet Falcon at den utelukkende arbeider som en Redact-affiliate. Gruppen benektet at den deler operatører, infrastruktur, verktøy, forhandlingskanaler eller inntekter med Helix, Pink eller andre grupper som er nevnt i analysen.
Trusselaktører kommer ofte med offentlige påstander som tjener deres egne interesser, og forskere må derfor behandle slike uttalelser med forsiktighet.
Mandiant sier at selskapet hjelper flere titalls organisasjoner som UNC6671 har kompromittert. Selskapet sier også at gruppen bruker infrastruktur og mønstre for domeneregistrering som skiller seg fra dem som er knyttet til Scattered Spider, til tross for likheter i deres sosial manipulering mot helpdeskpersonell.
Sikkerhetsteam bør følge utpressingsgruppen UNC6671 nøye, ettersom gruppens stemmebaserte phishingtaktikker raskt kan føre til kompromitterte skykontoer og datatyveri. Sterk phishing-resistent autentisering, strenge sesjonskontroller og rask gjennomgang av sikkerhetsvarsler kan også begrense skaden når angripere retter seg mot skyidentiteter.
0 responses to “UNC6671 knyttes til vishingangrep mot hedgefond og private equity-selskaper”