UNC6671 mit Vishing-Angriffen auf Hedgefonds und Private-Equity-Firmen in Verbindung gebracht

Eine Welle von Cyberangriffen auf Hedgefonds, Private-Equity-Firmen und andere Finanzorganisationen wurde mit der Erpressergruppe UNC6671 in Verbindung gebracht.

Aktuellen Berichten zufolge nahmen die Angreifer Point72 Asset Management, Millennium Management, Two Sigma Investments, Citadel und mehrere Private-Equity-Firmen ins Visier. Die Kampagnen sollen auf Voice-Phishing, auch Vishing genannt, gesetzt haben, um Mitarbeiter dazu zu bringen, den Angreifern Zugang zu Unternehmenssystemen zu gewähren.

Googles Threat Intelligence Group, kurz GTIG, verfolgt die Aktivitäten unter der Bezeichnung UNC6671. Laut Google trat die Gruppe zuvor öffentlich unter dem Namen BlackFile auf und hat seitdem mehrere verschiedene Marken für ihre Erpressungsaktivitäten verwendet.

Große Finanzunternehmen werden mit Vishing angegriffen

Die Angreifer sollen Mitarbeiter auf deren privaten Mobiltelefonen kontaktiert und sich als Mitarbeiter des Unternehmens-Helpdesks ausgegeben haben.

Während der Anrufe erklärten die Täter ihren Zielen, dass sie Passkeys registrieren oder ihre Einstellungen für die Multi-Faktor-Authentifizierung aktualisieren müssten. Anschließend leiteten sie die Mitarbeiter auf betrügerische Websites weiter, die ihre Unternehmen imitierten.

Diese Websites nutzten Adversary-in-the-Middle-Phishing-Kits, um Benutzernamen, Passwörter und Sitzungscookies in Echtzeit abzugreifen. Sitzungscookies können es Angreifern ermöglichen, bestimmte Authentifizierungsschutzmaßnahmen zu umgehen, da sie Zugriff auf eine bereits authentifizierte Kontositzung gewähren.

Sobald die Angreifer Zugriff auf ein Microsoft-365- oder Okta-Single-Sign-on-Konto erlangt hatten, konnten sie über das SSO-Dashboard der Organisation auf die mit diesem Konto verbundenen Cloud-Dienste zugreifen.

Google zufolge nutzen die Täter anschließend automatisierte Tools, um Daten von Cloud-Plattformen zu sammeln. Sie können außerdem Sicherheitswarnungen und Nachrichten zum Zurücksetzen von Passwörtern aus kompromittierten E-Mail-Postfächern löschen, um ihre Entdeckung zu verzögern.

BlackFile soll den Fokus auf Finanzunternehmen verlagert haben

BlackFile trat erstmals im Februar 2025 in Erscheinung und nahm damals Unternehmen aus dem Einzelhandel sowie dem Hotel- und Gastgewerbe ins Visier. Bedrohungsforscher zufolge verlagerte die Gruppe ihren Fokus im Juli 2026 auf Hedgefonds, Private-Equity-Firmen, große Anwaltskanzleien und Finanzratingagenturen.

Vor dieser Verlagerung sollen die Betreiber Unternehmen aus den Bereichen Fertigung, Gesundheitswesen, Immobilien, Technologie, Transport und Gastgewerbe angegriffen haben.

Austin Larsen, Principal Threat Analyst bei GTIG, erklärte, dass offenbar eine zentrale Angreifergruppe hinter den Helpdesk-Vishing-Angriffen und dem Diebstahl von Cloud-Daten unter mehreren öffentlich auftretenden Erpressermarken steht.

Google bringt die Erpressergruppe UNC6671 mit BlackFile, Redact, Pink, Helix und Falcon in Verbindung. BlackFile kündigte im Mai an, sich in Redact umzubenennen.

Laut Larsen verfolgte GTIG zwischen Januar und Mai 2026 Bitcoin-Zahlungen im Wert von mehr als 10,6 Millionen US-Dollar an Wallets der Gruppe. Die Täter fordern zunächst möglicherweise mehr als 3 Millionen US-Dollar. Google zufolge einigen sie sich nach Verhandlungen jedoch häufig auf rund 750.000 US-Dollar.

Falcon bestreitet die umfassendere Zuordnung

Die Erpressergruppe Falcon hat Teile der Bedrohungsanalyse bestritten.

In einer auf ihrer Leak-Seite veröffentlichten Erklärung behauptete Falcon, ausschließlich als Affiliate von Redact zu arbeiten. Die Gruppe bestritt, Betreiber, Infrastruktur, Tools, Verhandlungskanäle oder Einnahmen mit Helix, Pink oder anderen in der Analyse genannten Gruppen zu teilen.

Bedrohungsakteure veröffentlichen häufig Aussagen, die ihren eigenen Interessen dienen. Forscher müssen solche Behauptungen daher mit Vorsicht behandeln.

Mandiant erklärt, mehrere Dutzend Organisationen zu unterstützen, die von UNC6671 kompromittiert wurden. Das Unternehmen sagt außerdem, dass die Gruppe Infrastruktur und Muster bei der Domainregistrierung verwendet, die sich von denen unterscheiden, die mit Scattered Spider in Verbindung gebracht werden. Dies gilt trotz der Ähnlichkeiten bei den Social-Engineering-Taktiken gegen Helpdesk-Mitarbeiter.

Sicherheitsteams sollten die Erpressergruppe UNC6671 genau beobachten, da ihre Voice-Phishing-Taktiken schnell zur Kompromittierung von Cloud-Konten und zum Diebstahl von Daten führen können. Eine starke phishingresistente Authentifizierung, strenge Sitzungskontrollen und die schnelle Überprüfung von Sicherheitswarnungen können den Schaden ebenfalls begrenzen, wenn Angreifer Cloud-Identitäten ins Visier nehmen.