🔍 Contexte

Le 26 octobre 2026, Ransom-ISAC publie une analyse collaborative de quatre fichiers internes du groupe Silent Ransom Group (alias SRG, Luna Moth), fuités le 3 octobre 2026 sur un site Tor et relayés via X (ex-Twitter) par l’utilisateur @DonaldHame0q. Les fichiers comprennent un export de chat Rocket.Chat (5 692 messages, 36 salles), une liste de cibles navales, un modèle de faux CV et un script de vishing.

🎭 Attribution et structure du groupe

L’opération est attribuée avec confiance Probable à la lignée Luna Moth/SRG/Sleepless Threat, caractérisée par le callback phishing (vishing) comme vecteur d’accès initial et l’extorsion de cabinets juridiques américains sans chiffrement. Le groupe est russophone, opère sur le fuseau UTC+3 (Moscou) pour les opérateurs principaux, et compte 7 opérateurs humains + 1 bot actifs entre août 2025 et septembre 2026.

Hiérarchie identifiée :

  • Adrian (leader, 1 668 messages) : décisions stratégiques, finances, ciblage militaire
  • Henry (opérateur principal, 3 382 messages) : planification vishing, logistique kidnapping, OSINT défense
  • Spectrum (opérations terrain US, 337 messages) : infiltration physique, coordination agents
  • James (technique, 174 messages) : infrastructure, outil custom SpyCo, rebrand
  • Mike (sysadmin, 53 messages) : infrastructure, site Sleepless Threat
  • Monty (gestion agents, 47 messages) : callers vishing, compte X/Twitter volé
  • Dean (recrutement/coercition, 23 messages) : recrutement muscle, offre kidnapping 50 K$/mission

💰 Activité d’extorsion

27 victimes enregistrées comme payantes (GOLD) pour un total revendiqué de 206,95 M$. Le montant confirmé reçu par la comptabilité interne du groupe est de 43,95 M$ (au 4 mai 2026). Les cibles sont quasi exclusivement des cabinets juridiques américains et britanniques (88 %), avec quelques assureurs et cabinets comptables. Le modèle tarifaire ancre haut et ne négocie pas à la baisse : médiane de paiement à 5,5× la première demande, atteinte en médiane 10 jours.

Pipeline d’extorsion : EMAIL → CHAT → LOADING → OFFER → CONTRACT → GOLD

Le plus grand paiement enregistré : 30 M$ (REDACTED FIRM 1, septembre 2026).

🛠️ Méthodologie technique

  • Aucun malware : l’intrusion est entièrement humaine. Un opérateur convainc la victime d’ouvrir une session AnyDesk via vishing, puis copie les données manuellement vers des comptes Google Drive consommateurs (100 Go chacun) ou Yandex Disk.
  • Outil custom SpyCo : plateforme de gestion des cas d’extorsion, développée par James.
  • Infrastructure 3CX PBX : 87.251.67[.]222 et 87.251.67[.]223 (Pays-Bas) pour les appels vishing.
  • Serveurs Rocket.Chat auto-hébergés : aim6umein3kee[.]com (primaire, 5 458 messages) et slplsskdj2836v2jjsx[.]com (secondaire, rebrand Sleepless Threat).
  • ChatGPT utilisé comme outil OSINT (paramètre utm_source=chatgpt.com dans les liens collés).
  • Communications victimes via ProtonMail puis SimpleX Chat.

🕵️ Escalade vers l’espionnage hybride

Au-delà de l’extorsion, le groupe a planifié (non confirmé comme exécuté) :

  • Ciblage HUMINT de personnels de sous-marins nucléaires [REDACTED]
  • Placement de faux employés chez des contractants de défense
  • Infiltration physique de bâtiments (livreur pizza, technicien HVAC, van d’entreprise, lunettes caméra)
  • Opérations de kidnapping et coercition armée
  • Kompromat via prostitution et honey traps
  • Recrutement d’agents via annonces Telegram (@DD_party1)

⛓️ Analyse blockchain

  • 52 adresses Bitcoin identifiées dans les logs, vérifiées via l’API Blockstream.
  • Flux de blanchiment : paiements victimes → CoinJoin mixer (6 inputs identiques, signature Wasabi/JoinMarket) → wallets intermédiaires Adrian → peel chain vers agents → cash-out via 001K Bot (exchange non licencié, lié à des Ponzi et ransomwares) et Bybit (adresse Goldbear).
  • Wallet bc1qrqt2n7tnx3znrnf0s9ctarxnp4j6l6z0cexsn9 : plus grand solde reçu (536 741 $).
  • Lien possible avec WhiteMist, exchange malveillant précédemment associé à Akira et LockBit.
  • Blanchiment en immobilier moscovite et véhicules (Porsche 911), source déclarée comme épargne/héritage/don.

📋 Type d’article

Publication de recherche CTI collaborative (Ransom-ISAC + contributeurs externes), basée sur l’analyse de fichiers internes fuités. But principal : documenter les TTPs, l’infrastructure, les IOCs et la structure organisationnelle de SRG pour les équipes de défense et les forces de l’ordre.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1566.004 — Phishing: Spearphishing Voice (Initial Access)
  • T1219 — Remote Access Software (Command and Control)
  • T1567.002 — Exfiltration to Cloud Storage (Exfiltration)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1534 — Internal Spearphishing (Lateral Movement)
  • T1591 — Gather Victim Org Information (Reconnaissance)
  • T1598 — Phishing for Information (Reconnaissance)
  • T1657 — Financial Theft (Impact)
  • T1486 — Data Encrypted for Impact (Impact)
  • T1585.002 — Establish Accounts: Email Accounts (Resource Development)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1588.002 — Obtain Capabilities: Tool (Resource Development)
  • T1560 — Archive Collected Data (Collection)
  • T1074 — Data Staged (Collection)
  • T1071.003 — Application Layer Protocol: Mail Protocols (Command and Control)
  • T1496 — Resource Hijacking (Impact)
  • T1489 — Service Stop (Impact)

IOC

  • IPv4 : 87.251.67.222 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 87.251.67.223 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 45.32.232.133 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 199.217.98.21 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 216.203.20.157 — AbuseIPDB · VT · ThreatFox
  • Domaines : aim6umein3kee.com — VT · URLhaus · ThreatFox
  • Domaines : slplsskdj2836v2jjsx.com — VT · URLhaus · ThreatFox
  • Domaines : sdfmskfd.com — VT · URLhaus · ThreatFox
  • Domaines : h7v7qkdil4lkm3ocwmcudzfmx7xmihtw53n3yk7b2cjtqu3zc4xqo7qd.onion — VT · URLhaus · ThreatFox
  • Domaines : 001k.bot — VT · URLhaus · ThreatFox
  • Domaines : privnote.com — VT · URLhaus · ThreatFox
  • SHA256 : 41900fbcc8a172629c695bba46ad15b7981610ea52d3a61ab4061fd6d860e809 — VT · MalwareBazaar
  • SHA256 : 4bee44ec615b61d6f1acdb4b3d92497f9f200757f4b6653068dce23a9f100d4f — VT · MalwareBazaar
  • SHA256 : a6a580e4aff45d4812123eb18ec7bd1c53f44b3369e3b430d7b72f4cdb30778e — VT · MalwareBazaar
  • SHA256 : d2f3a78a814ca628ca54358cc35808b8bd032bcde81f72134addc05e5546285e — VT · MalwareBazaar
  • Emails : kalvaramanjunath@gmail.com
  • Emails : eldowdy4187@gmail.com
  • Emails : buckettwigg@gmail.com
  • Emails : sdvbsbdsndmks55@gmail.com
  • Emails : BledarMurillo687@gmail.com
  • Emails : anohin77777777@gmail.com
  • Fichiers : chat_export_full.json.gz
  • Fichiers : target_list_naval_bases.xlsx
  • Fichiers : fake_employee_resume.pdf
  • Fichiers : vishing_call_script.txt

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 29 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • AnyDesk (tool)
  • SpyCo (other)
  • Rocket.Chat (tool)
  • 3CX PBX (tool)
  • Zoho Assist (tool)
  • 001K Bot (other)

🟢 Indice de vérification factuelle : 68/100 (haute)

  • ⬜ ransom-isac.org — source non référencée (0pts)
  • ✅ 117834 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 25 IOCs dont des hashes (15pts)
  • ✅ 1/9 IOC(s) confirmé(s) (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 17 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Silent Ransom Group, Luna Moth (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • aim6umein3kee.com (domain) → VT (7/92 détections)

🔗 Source originale : https://ransom-isac.org/blog/silent-ransom-group-leak-analysis/