俄罗斯勒索组织招募“特工”渗透美国律所，目标直指核潜艇

网空闲话
网空闲话

CyberOk

2026年10月9日 06:54
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年10月8日，Recorded Future News披露，一个与俄罗斯有关的网络勒索团伙“Silent Ransom Group”（SRG，又称Luna Moth、Chatty Spider、UNC3753）的内部聊天记录被匿名来源发布至定制.onion网站。档案包含2025年8月至2026年9月的数千条消息，显示该团伙不仅通过远程钓鱼入侵美国律所，还策划派遣所谓“特工”进入办公室、招募内部人员，甚至讨论绑架高管、招募美军人员获取潜艇核力量动向。Chainalysis随后确认，泄露中的部分加密货币地址与SRG已知勒索付款相关；FBI早在2026年5月26日发布的公共咨询中，已警告该组织冒充IT人员、甚至派人实地进入律所窃取数据。

一、泄露档案与FBI警告：最新进展相互印证

泄露档案由不明来源发布，未说明动机，内容混杂真实勒索记录、头脑风暴、放弃计划、吹嘘和暴力幻想。Recorded Future News无法核实最极端计划是否实施，但部分缓存获独立佐证。区块链分析公司Chainalysis检查了泄露中的加密货币地址，称可将其与SRG已知勒索活动关联，并确认某些地址位于数百万美元勒索付款下游。Chainalysis特别指出，泄露聊天中一名Silent成员的钱包完全来自SRG在2026年中收到的一笔1000万美元以上受害者付款；多数地址将勒索收益再投资于运营支出，包括支付团队、基础设施和服务。但该公司也谨慎表示，无法“说明档案中所有说法的总体”。

FBI 2026年5月26日的公共咨询提供了官方视角：SRG与已解散的Conti勒索软件集团有关联，自2023年以来持续针对美国律所，至少自2022年活跃。该组织专注数据盗窃和勒索，而非加密受害者网络。其最新活动包括冒充内部IT人员，通过电话或钓鱼邮件诱使员工联系假帮助台，进而授予远程桌面访问；若失败，则可能派人到办公室，声称需要备份或镜像设备，再用硬盘或USB复制数据。FBI称，该活动难以检测，因为其依赖合法远程管理工具，并通过Google Drive、Microsoft OneDrive等可信云平台传输数据，混入正常业务。除律所外，SRG还针对医疗、保险和金融行业。FBI未说明最新活动中多少律所被针对或是否成功。

二、协议内容：百万美元换销毁承诺，LockBit先例令受害者警惕

泄露聊天中一次谈判尤为关键。一家律所代表告诉勒索者，已知有人进入其纽约办公室，将文件复制到闪存盘。律所高管授权100万美元解决要求，但要求证明所有数字和物理副本将被销毁。其依据是LockBit勒索软件团伙的教训：2024年2月，英国国家犯罪局（NCA）在取缔LockBit时发现，该团伙系统上仍保留着已支付赎金受害者的数据，证明“即使支付赎金，也不保证数据会被删除”。NCA总干事Graeme Biggar当时称，LockBit是过去四年“最多产和有害”的勒索组织，2023年是攻击和赎金金额最高的一年。这一先例直接解释了为何律所要求销毁证明，也凸显勒索谈判中“付款换删除”协议的根本不可信。

档案还显示，该团伙用销售管道管理受害者，条目从“chat”推进到“offer”“contract”，最终标记为“gold”。一次谈判中，10万美元开价被嘲笑“少个零”，随后报价升至50万、150万、225万、300万、350万美元，最终出现600万美元合同并进入“gold”。在数十家被标记“gold”的公司中，档案记录约2亿美元声称的勒索和解金额，但这是团伙自己的数字，无法独立核实。约50个组织出现在记录中，多数为律所；部分今年公开披露了网络事件，另一些未公开声明。

三、如何落地：从远程IT到披萨送货、律师面具与Telegram招募

该团伙的落地方式分为远程与物理两条线。远程线依赖冒充IT支持、钓鱼电话和远程桌面工具；物理线则更引人注目。聊天显示，成员数月策划如何让“特工”进入律所办公室。有人建议购买配送制服和保温袋，设计披萨送货诡计：特工以送披萨通过前台，再冒充主办公室IT人员。另有人提议定制真实律师面具，或购买智能眼镜，让冒充客户的特工记录办公室内部。更早的购物清单包括一台价值3200美元、具备紫外线功能的打印机和全息材料，用于制作身份证；费用还包括向伪造者付款，其中一人在纽约。档案未显示这些具体方案成功使用，但派人冒充进入办公室的总体战术与FBI警告吻合。

招募通过付费Telegram广告进行，伪装成夜店推广、快递和保安等普通招聘，目标似为俄语者。招募过程混乱：名单按编号代码和城市列特工，一条记录描述一名17岁者准备就绪但未成年；另一频道名称似乎显示一名特工在芝加哥被抓。团伙头目2026年2月估计，仅十分之一招募者可用，称为“转化率”；另一成员称其为“传送带”。一些招募者拿钱后消失，或在办公室入口退出；其他人被派付费测试任务。一次对话中，成员建议只对“完全信任的人”充分解释计划。领导层常以轻蔑甚至种族主义词汇提及招募者，并讨论跟踪特工，以防其偷窃或联系FBI。

四、影响与后续：军事目标、社会运动幻想、执法与防御

泄露聊天还显示，该团伙讨论超越律所的目标。2026年4月，头目提出针对一名与美国陆军合作的主要军事承包商高级员工，并称军事公司不能像普通勒索受害者那样处理，“货币化”方式不同。另一用户回复称资金可来自俄罗斯国防部，但以笑脸结束，未显示是否认真；档案无证据表明俄国防部联系、委托或付款。2026年5月，另一聊天频道更明确讨论通过海军基地附近同性恋酒吧招募美国水兵，获取“潜艇核力量”动向秘密信息。团伙开始收集基地和附近场所信息，几天后一用户写道“我们将用他们自己的武器打败美国佬”。但无证据显示美军人员被招募或任何军事、核信息被获取。档案还提到一名与瓦格纳有关、在非洲和乌克兰作战的老兵，提议合作；运营安全方面，头目警告不要用iPhone，称美国当局可“随时听、读、看摄像头”。团伙研究同伙被捕，讨论通过埃塞俄比亚等低引渡风险国家旅行，同时抱怨迪拜易受美国法律拦截。

档案截止前（2026年9月），该团伙谈论以“Sleepless Threat”品牌重启。一名高级用户2026年4月写道：“最终目标是成为社会运动或邪教”，让美国人相信其理念并“在未被要求的情况下”窃取有价值信息。综合来看，SRG的模式结合了传统勒索、社会工程、物理渗透和准情报招募，对美国律所及更广泛关键行业构成持续威胁。FBI的警告、Chainalysis的链上确认以及LockBit的销毁骗局先例共同表明：支付赎金既不能保证数据删除，也无法阻止组织化犯罪生态继续运作。后续值得关注的是，执法机构能否利用泄露档案中的身份、加密货币和招募网络展开行动，以及律所是否会加强访客验证、IT支持身份核验和物理安全措施。

参考文献

1. Alexander Martin, “Leaked chats show Russian extortion gang sending ‘agents’ into US law firms,” Recorded Future News, October 8, 2026.
2. Daryna Antoniuk, “FBI warns extortion hackers are visiting US law firms to steal data,” Recorded Future News, May 27, 2026.
3. Alexander Martin, “LockBit held victims’ data even after receiving ransom payments to delete it,” Recorded Future News, February 22, 2024.
4. Chainalysis, X post on Silent Ransom Group leaked crypto addresses, https://x.com/chainalysis/status/2107883788567040504.