🔍 Contexte

Publié le 5 juin 2026 par Resecurity, ce rapport de threat intelligence détaille l’infrastructure technique du Silent Ransom Group (SRG), également connu sous les alias Luna Moth, Chatty Spider et UNC3753. Le groupe est actif depuis au moins 2022 et se spécialise dans le vol de données et l’extorsion sans chiffrement.

🎯 Cibles et secteurs visés

Le SRG cible prioritairement :

  • Cabinets d’avocats (AmLaw 100, au moins 38 firmes compromises)
  • Prestataires de services comptables
  • Secteurs santé, hôtellerie, finance et assurance

Les cabinets juridiques représentent près d’un quart des incidents ransomware du Q1 2026, faisant du secteur légal le 4e secteur le plus ciblé.

🛠️ Tactiques d’attaque

  1. Callback phishing / vishing : usurpation d’identité de support IT (Duolingo, Masterclass)
  2. Infiltration physique : envoi d’opérateurs dans les locaux des victimes déguisés en techniciens IT
  3. Vol de données et extorsion : sans ransomware chiffrant, contournant les sauvegardes
  4. Exploitation de la supply chain : compromission via fournisseurs tiers
  5. Pression persistante : contacts directs répétés avec les employés pour forcer la négociation

🌐 Infrastructure DNS Fast Flux

Resecurity est le premier à documenter l’infrastructure Fast Flux du SRG :

  • Deux domaines principaux : ep6pheij[.]com et business-data-leaks[.]com
  • Rotation des enregistrements DNS A toutes les 2-3 minutes
  • 10 à 18 adresses IP simultanées par réponse DNS
  • 100% d’IPs résidentielles (aucune IP datacenter)
  • Botnet couvrant 18 pays et 22 FAI (Telecentro, Mega Cable, Vodafone, etc.)
  • 50-60% de pool de bots partagé entre les deux domaines, confirmant un opérateur unique
  • Concentration géographique : 50% Amérique latine, 12,5% Balkans/Europe de l’Est, 12,5% Moyen-Orient/Afrique

🗂️ Site de fuite de données (DLS)

  • DLS Clearnet : business-data-leaks[.]com (anciennement brandé “LeakedData” depuis décembre 2024)
  • Mécanisme de token CSRF pour éviter le scraping automatisé
  • Redirection vers ep6pheij[.]com/[Victim_Name]/ pour les données volées
  • Près de 100 organisations victimes répertoriées au juin 2026
  • Enregistrement via WebNic.cc (Web Commerce Communications Limited)
  • Serveurs de noms Fast Flux : heopldenticalderr[.]org et hefirealde[.]org

🔗 Projet connexe : Spy Corporate

Un projet lié nommé Spy Corporate (spycorp[.]pro), apparu en mai 2026, partage les mêmes IPs en rotation que l’infrastructure SRG, confirmant une connexion directe. Enregistré également via WebNic.cc avec les nameservers digoprotergonde[.]org.

🔗 Liens avec d’autres infrastructures criminelles

Certaines IPs du Fast Flux ont été précédemment associées à :

  • CVV Union : carding shop
  • Omerta : forum dark web de fraude à la carte bancaire et PII

📄 Type d’article

Il s’agit d’une publication de recherche en threat intelligence produite par Resecurity, visant à exposer l’infrastructure technique du SRG et à fournir des IOCs exploitables aux équipes de sécurité, FAI et fournisseurs DNS.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Silent Ransom Group (cybercriminal) —
  • Luna Moth (cybercriminal) — orkl.eu · Malpedia
  • UNC3753 (cybercriminal) —
  • Gamaredon (state-sponsored) — orkl.eu · Malpedia

TTP

  • T1566.004 — Phishing: Spearphishing Voice (Initial Access)
  • T1598.004 — Phishing for Information: Spearphishing Voice (Reconnaissance)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1534 — Internal Spearphishing (Lateral Movement)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1657 — Financial Theft (Impact)
  • T1486 — Data Encrypted for Impact (Impact)
  • T1491 — Defacement (Impact)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1568.001 — Dynamic Resolution: Fast Flux DNS (Command and Control)
  • T1090.004 — Proxy: Domain Fronting (Command and Control)
  • T1195 — Supply Chain Compromise (Initial Access)
  • T1589 — Gather Victim Identity Information (Reconnaissance)

IOC

🟢 Indice de vérification factuelle : 70/100 (haute)

  • ⬜ resecurity.com — source non référencée (0pts)
  • ✅ 36342 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 92 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 4/8 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 13 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Silent Ransom Group, Luna Moth, UNC3753 (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 95.86.30.3 (ip) → VT (8/91 détections)
  • business-data-leaks.com (domain) → VT (6/91 détections)
  • ep6pheij.com (domain) → VT (6/91 détections)
  • spycorp.pro (domain) → VT (10/91 détections)

🔗 Source originale : https://www.resecurity.com/blog/article/silent-ransom-group-srg-uncovering-dns-fast-flux-infrastructure