UNC6671 kopplas till vishingattacker mot hedgefonder och private equity-bolag

En våg av cyberattacker riktade mot hedgefonder, private equity-bolag och andra finansiella organisationer har kopplats till utpressningsgruppen UNC6671.

Nya rapporter uppger att angriparna riktade in sig på Point72 Asset Management, Millennium Management, Two Sigma Investments, Citadel och flera private equity-bolag. Kampanjerna ska ha byggt på röstnätfiske, eller vishing, för att lura anställda att ge angriparna tillgång till företagens system.

Googles Threat Intelligence Group, känt som GTIG, spårar aktiviteten under beteckningen UNC6671. Enligt Google verkade gruppen tidigare offentligt under namnet BlackFile och har sedan dess använt flera olika varumärken för utpressning.

Stora finansbolag utsätts för vishingattacker

Angriparna ska ha kontaktat anställda på deras privata mobiltelefoner och utgett sig för att vara personal från företagens helpdesk.

Under samtalen uppgav operatörerna att de anställda behövde registrera passkeys eller uppdatera sina inställningar för multifaktorautentisering. Därefter dirigerade de personerna till falska webbplatser som imiterade deras arbetsgivare.

Webbplatserna använde adversary-in-the-middle-baserade nätfiskeverktyg för att fånga upp användarnamn, lösenord och sessionscookies i realtid. Sessionscookies kan göra det möjligt för angripare att kringgå vissa autentiseringsskydd eftersom de ger åtkomst till en redan autentiserad kontosession.

När angriparna fått tillgång till ett Microsoft 365- eller Okta-konto för single sign-on kunde de nå molntjänster som var kopplade till kontot via organisationens SSO-panel.

Google uppger att operatörerna därefter använder automatiserade verktyg för att samla in data från molnplattformar. De kan också radera säkerhetsvarningar och meddelanden om återställning av lösenord från komprometterade e-postinkorgar för att fördröja upptäckt.

BlackFile ska ha skiftat fokus till finanssektorn

BlackFile dök först upp i februari 2025, då gruppen riktade in sig på organisationer inom detaljhandel och hotell- och restaurangbranschen. Hotforskare uppger att gruppen i juli 2026 skiftade fokus mot hedgefonder, private equity-bolag, stora advokatbyråer och kreditvärderingsinstitut.

Före detta skifte ska operatörerna ha riktat attacker mot företag inom tillverkning, sjukvård, fastigheter, teknik, transport och hotellverksamhet.

Austin Larsen, principal threat analyst på GTIG, uppgav att en central intrångsgrupp verkar ligga bakom helpdeskbaserade vishingattacker och stöld av molndata under flera offentliga utpressningsvarumärken.

Google kopplar utpressningsgruppen UNC6671 till BlackFile, Redact, Pink, Helix och Falcon. BlackFile meddelade i maj att gruppen skulle byta namn till Redact.

Enligt Larsen spårade GTIG mer än 10,6 miljoner dollar i Bitcoin-betalningar till gruppens plånböcker mellan januari och maj 2026. Operatörerna kan inledningsvis kräva mer än 3 miljoner dollar, men enligt Google landar uppgörelserna ofta på omkring 750 000 dollar efter förhandlingar.

Falcon ifrågasätter den bredare kopplingen

Utpressningsgruppen Falcon har ifrågasatt delar av hotanalysen.

I ett uttalande som publicerades på gruppens läcksajt hävdade Falcon att den uteslutande arbetar som en Redact-affiliate. Gruppen förnekade att den delar operatörer, infrastruktur, verktyg, förhandlingskanaler eller intäkter med Helix, Pink eller andra grupper som nämns i analysen.

Hotaktörer gör ofta offentliga uttalanden som gynnar deras egna intressen, vilket innebär att forskare måste behandla sådana påståenden med försiktighet.

Mandiant uppger att företaget hjälper flera dussin organisationer som UNC6671 har komprometterat. Företaget säger också att gruppen använder infrastruktur och mönster för domänregistrering som skiljer sig från dem som kopplats till Scattered Spider, trots likheter i deras social engineering-taktik mot helpdeskpersonal.

Säkerhetsteam bör följa utpressningsgruppen UNC6671 noggrant eftersom dess röstnätfiske snabbt kan leda till komprometterade molnkonton och datastöld. Stark nätfiskeresistent autentisering, strikta sessionskontroller och snabb granskning av säkerhetsvarningar kan också begränsa skadorna när angripare riktar in sig på molnidentiteter.