WASHINGTON, D.C. / LONDON (IT BOLTWISE) – Forschende ordnen eine groß angelegte Datendiebstahl- und Erpressungskampagne in den USA einem Tätercluster namens UNC3753 zu. Die Angreifer kombinieren Vishing, Social Engineering und schnelle Datenexfiltration, um innerhalb eines Arbeitstages zu erpressen. Neu ist zudem eine Eskalation mit physischen Einbrüchen, bei denen sie sich als IT-Techniker ausgeben und über USB-Medien Daten abziehen. Der Fall zeigt, wie stark Organisationen anfällig werden, wenn der Faktor Mensch technische Schutzschichten umgeht.
In den USA zeichnet sich eine besonders auffällige Erpressungswelle ab: Eine Kampagne, die Google Mandiant und die Google Threat Intelligence Group (GTIG) dem Tätercluster UNC3753 zuordnen, hat zwischen Januar und Mai 2026 Dutzende Organisationen aus professionellen, juristischen und finanznahen Bereichen getroffen. Charakteristisch ist das Tempo—mehrere Vorfälle sollen vom ersten Kontakt bis zur Forderung binnen eines einzigen Arbeitstages abgelaufen sein. Die Angreifer nutzen dafür nicht nur klassische Phishing-Mechaniken, sondern vor allem Vishing, also Voice-Phishing, und täuschende Rollenspiele, die Betroffene dazu bringen, Bildschirmfreigaben zu starten und Remote-Management-Tools zu installieren.
Technisch basiert die Vorgehensweise auf einem bewusst niedrigen Hürde-Design: Laut den Forschern initialisieren die Angreifer oft mit harmlos wirkenden Rechnungs- oder Invoice-bezogenen E-Mails. Diese enthalten weder aktive Links noch schädliche Anhänge, sondern dienen ausschließlich dazu, ein plausibles Vorwandnarrativ („wir müssen noch etwas im Projektstatus klären“) aufzubauen. Darauf folgen Telefonate, in denen der Angreifer sich als IT-Support ausgibt und das Opfer Schritt für Schritt in eine Bildschirmfreigabe oder einen Assistenz-Dialog auf etablierten Kommunikationsplattformen lenkt. Sobald die Sitzung steht, wird die Installation von RMM-Software angeleiert—eine Art legitimer Fernsteuerungszugang, der technische Perimeter leichter unterläuft als blockierbare Malware.
Die Kampagne zeigt dabei mehrere Phasen, die sich gegenseitig verstärken. Nach dem Erreichen von Remote-Zugriffen sollen die Angreifer entweder selbst gezielt nach interessanten Dateien suchen und Daten exfiltrieren oder das Opfer zu Handlungen „anleiten“, indem sie glauben lassen, die Aktion diene einer Datenmigration oder einem Sicherheitscheck. Besonders relevant ist, dass die gestohlenen Informationen nicht nur persönliche Daten (PII), sondern auch sensible finanz- und vertragsbezogene Unterlagen umfassen, etwa proprietäre rechtliche Vereinbarungen. Der Übergang zu einer zweiten Zugriffsschicht gelingt zusätzlich, weil UNC3753 in manchen Fällen direkte Vor-Ort-Intrusionen vornimmt: Angreifer geben sich als IT-Techniker aus und versuchen, über USB-Medien Daten abzuziehen, was den bisherigen rein digitalen Ansatz erweitert.
„UNC3753 leverages voice phishing (vishing) and social engineering deception techniques to achieve remote access into corporate environments,“ so fassten Forschende die Kernmethode zusammen. Ein weiterer Hinweis auf die Eskalation liefert die Aussage des FBI zur physischen Komponente: Es beschreibt, dass durch das Entsenden einer Person in die Nähe des Opfers eine Exfiltration vorbereitet wird, etwa indem ein externes Speichermedium in den Rechner des Opfers eingesteckt wird. Diese Kombination aus menschlicher Überredungskraft und hybrider Zugriffskette verändert die Risikobewertung für Unternehmen, weil klassische Kontrollen—wie E-Mail-Gateway-Regeln, MFA oder Webfilter—zwar den Einstieg erschweren können, aber nicht automatisch verhindern, dass ein legitimer Remote-Sitzungsaufbau durch Vertrauen in „IT“ gelingt.
Im Marktvergleich fällt auf, dass UNC3753 in taktischen Mustern Überschneidungen mit UNC2686 zeigt, einem Bedrohungscluster, das 2021 bereits für BazarCall-ähnliche Kampagnen bekannt war. Auch die historische Herkunft wird eingeordnet: Beide Cluster gelten als Ausläufer der mittlerweile eingestellten Conti-Ransomware-Gang. Das ist wichtig, weil es zeigt, dass sich Know-how nicht nur in Schadsoftware, sondern in Erpressungsprozessen und Social-Engineering-Playbooks akkumuliert. Während frühere Varianten derartiger Kampagnen teils mit Callbacks und Abmelde- oder Kündigungs-Vorwänden arbeiteten, verlagern sich die heutigen Operationen stärker auf die Kombination aus Remote-Zugriffen und „Extortion-only“-Workflows—mit Druck, der oft über Leak-Seiten wie „LEAKEDDATA“ oder verwandte Datenlecks verstärkt wird.
Auch wenn in der Vergangenheit vereinzelt LockBit Black zum Einsatz gekommen sein soll, liegt der Fokus laut Berichten seit 2022 überwiegend auf reiner Erpressung statt umfassender Verschlüsselung. Für Sicherheitsverantwortliche ist das deshalb so herausfordernd, weil sich viele Incident-Response-Prozesse häufig entlang typischer Ransomware-Artefakte optimieren—während hier die „Datenwert“-Logik stärker im Vordergrund steht. Hinzu kommt, dass die Datenabflüsse in mehreren Stufen passieren: Nach dem Zugriff werden lokal und in Cloud- sowie VDI-Umgebungen Verzeichnisse durchsucht, gemappte Netzlaufwerke gecrawlt und besonders sensible Bereiche priorisiert, etwa Unterlagen rund um Steuern, Audits, Mandantenvereinbarungen und Sozialversicherungsdaten. Abschließend werden Daten über etablierte Transferwege wie WinSCP oder Rclone oder sogar über E-Mail-Zugriff aus dem Postfach heraus versendet.
Wichtig ist zudem die Infrastruktur- und Abdeckungsstrategie. Parallel zu den Social-Engineering-Mechaniken berichtet Resecurity über die Nutzung von DNS-Fast-Flux-Netzwerken durch den Akteur in mehreren Regionen—von Lateinamerika bis Ostasien sowie Teilen Europas und Afrika. Das Ziel ist, Domains gegen Abschaltungen resilient zu machen: Durch das ständige Umschreiben von DNS-Einträgen und sehr kurze Time-To-Live-Werte wird die Blockierbarkeit reduziert. Solche Muster stehen in der Tradition von Botnetz-gestützter Domain- und Infrastrukturhärtung; sie zeigen, dass die Angreifer nicht nur „Zugriff“ kaufen, sondern auch „Durchhaltefähigkeit“ im Betrieb absichern. Laut Analyse sind die Knoten ohne klassische Rechenzentrums-IPs und stattdessen auf Consumer- oder Mobile-ISPs zurückzuführen, was die Detektion zusätzlich verkompliziert.
Der unternehmerische Impact ist besonders hoch bei Rechts- und Finanzdienstleistern, weil deren Datenräume stark konzentriert sind und gleichzeitig reputations- sowie regulatorisch empfindlich bleiben. Wenn Bedrohungsakteure damit drohen, gestohlene Informationen innerhalb kurzer Fristen zu veröffentlichen oder gezielt an Mitarbeitende und sogar externe Klienten zu schreiben, entsteht ein extremer Druck zur schnellen Eskalations- oder Verhandlungsentscheidung. Google beschreibt diesen Motivationshebel explizit: Zielorganisationen könnten versuchen, Erpressungsfälle diskret zu lösen, um Rechts- und Reputationsschäden zu begrenzen. Gleichzeitig greifen die Täter genau dort an, wo technische Perimeter traditionell schwächer sind—beim menschlichen Vertrauen in „Voice-guided“ Unterstützung und bei der Bereitschaft, Bildschirmfreigaben sowie Installationen nach vermeintlich internen Anweisungen zu starten.
Für die Zukunft bedeutet das vor allem eins: Unternehmen müssen ihre Sicherheitsarchitektur stärker als End-to-End-„Trust“-System denken, nicht nur als Tool-Sammlung. Während MFA und Gateways zwar unverzichtbar bleiben, erfordert die Realität von UNC3753 zusätzliche Mechanismen gegen Social-Engineering-getriebene Zugriffe, etwa strenge, technisch unterstützte Prozesse zur Verifikation von Support-Anrufen, gehärtete Remote-Assist-Policy-Regeln sowie konsequente Protokollierung von Screen-Sharing-, Tool-Installations- und RMM-Aktivitäten. Außerdem lohnt es sich, Zero-Trust-Ansätze mit konkreten Betriebskontrollen zu verbinden: Wer darf Remote-Desktop-Software installieren, welche Geräte sind für VDI-Zugriffe zugelassen, und wie schnell werden neue Installationssignale für Incident-Responder sichtbar? Gerade im Vergleich zu früheren, mehr malwarezentrierten Kampagnen dürfte sich der Schwerpunkt weiter in Richtung datenorientierter Erpressung mit hybriden Zugriffswegen verlagern.
Unmittelbar spannend für die Entwickler- und Security-Community ist schließlich die Frage, wie Detektion und Response auf solche Muster skalieren. Wenn Kampagnen in Teilen „innerhalb einer Stunde“ Staging und Datendiebstahl anstoßen, reichen reaktive Prozesse allein nicht mehr aus. Stattdessen werden Telemetriequellen wie Gesprächs- und Ticket-Workflows, Endpoint-Installationsereignisse, Netzwerktransfermuster sowie DNS- und Infrastruktur-Signale zusammengeführt, um frühe Anomalien zu erkennen. Das eröffnet zugleich Chancen für Security-Betriebsteams: Eine konsequente, regelbasierte und KI-gestützte Korrelation kann helfen, Voice-Phishing-Phasen mit späteren Remote-Installationsschritten zu verknüpfen—und so die Zeit bis zur Eindämmung drastisch zu verkürzen. In jedem Fall unterstreicht der Fall UNC3753, dass „schnell erpressen“ künftig nicht nur eine Frage der Malware, sondern der operativen Prozessführung ist.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "UNC3753: Vishing, RMM-Software und USB-Intrusionen bei Datendiebstahl in den USA" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "UNC3753: Vishing, RMM-Software und USB-Intrusionen bei Datendiebstahl in den USA" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »UNC3753: Vishing, RMM-Software und USB-Intrusionen bei Datendiebstahl in den USA« bei Google Deutschland suchen, bei Bing oder Google News!