Evolução da marca de grupo de cibercrime
Inicialmente chamando-se de BlackFile, o grupo de extorsão UNC6671 expandiu suas operações e se rebrandou para as marcas Redact, Pink, Helix e Falcon. A mudança de nome ocorre após o grupo ter lucrado milhões de dólares com campanhas de extorsão baseadas em vishing (phishing por voz). A reestruturação da marca sugere uma tentativa de evitar a detecção e o rastreamento por autoridades e empresas de segurança, além de diversificar suas operações de ataque.
O grupo é conhecido por utilizar técnicas de engenharia social avançadas para comprometer sistemas corporativos e exigir resgates em criptomoedas. A mudança de nome não altera a natureza das operações, mas indica uma adaptação estratégica para contornar medidas de defesa que podem ter sido implementadas contra a marca BlackFile. A atividade do grupo tem sido observada em setores financeiros e de tecnologia, onde o impacto financeiro de um ataque de ransomware é mais significativo.
Táticas de vishing e extorsão
O UNC6671 utiliza vishing como vetor primário de ataque, onde atacantes ligam para funcionários de TI fingindo ser suporte técnico para obter credenciais de acesso. Uma vez dentro da rede, eles implantam ransomware e ameaçam exfiltrar dados sensíveis se o resgate não for pago. A combinação de vishing com ransomware cria um cenário de ataque duplo que aumenta a pressão sobre as vítimas para pagar.
A rebranding para múltiplas marcas permite que o grupo opere simultaneamente sob diferentes identidades, dificultando a correlação de ataques e a atribuição de responsabilidade. Isso também pode ser uma estratégia para testar diferentes vetores de ataque e táticas de pagamento sem comprometer a reputação de uma única marca. A diversidade de nomes também pode confundir analistas de inteligência de ameaças que tentam mapear a infraestrutura do grupo.
Impacto no ecossistema de segurança
Para a comunidade de segurança, a rebranding do UNC6671 destaca a necessidade de monitoramento contínuo de grupos de ameaças, independentemente de suas mudanças de nome. As táticas, técnicas e procedimentos (TTPs) permanecem consistentes, mesmo que a marca mude. Equipes de SOC devem atualizar seus indicadores de comprometimento (IOCs) para incluir as novas marcas e manter a vigilância sobre atividades associadas ao grupo.
A atividade do grupo também reforça a importância da conscientização de segurança para funcionários, especialmente em relação a chamadas telefônicas não solicitadas. Treinamentos de phishing e vishing devem ser realizados regularmente para garantir que os funcionários saibam como identificar e reportar tentativas de engenharia social. A implementação de autenticação multifator (MFA) forte também é crucial para mitigar o risco de credenciais comprometidas.
Recomendações para CISOs
Organizações devem revisar seus planos de resposta a incidentes para incluir cenários de extorsão por grupos rebrandeados. A comunicação com parceiros de inteligência de ameaças e autoridades deve ser mantida para obter informações atualizadas sobre as atividades do UNC6671. Além disso, a segmentação de rede e o monitoramento de tráfego de saída podem ajudar a detectar exfiltração de dados antes que o ransomware seja implantado.
A análise forense de sistemas comprometidos deve incluir a busca por indicadores associados às novas marcas do grupo. Isso inclui domínios, endereços IP e hashes de arquivos maliciosos. A colaboração com a comunidade de segurança é essencial para compartilhar informações e proteger o ecossistema contra as táticas evolutivas do UNC6671. A vigilância proativa é a melhor defesa contra grupos de extorsão que se adaptam rapidamente.