Die Angriffsgruppe UNC6671 ist in den letzten Monaten neu aufgestellt worden: Laut Google Threat Intelligence Group (GTIG) hat sie ihr Branding verändert und dabei gleichzeitig ihre Taktiken weiterentwickelt. Unter dem Begriff Vishing-Extortion UNC6671 wird ein Muster sichtbar, das besonders im IT-Support ansetzt – mit Telefonanrufen, die Mitarbeitende zu gefälschten Login-Seiten locken sollen.
Auch wenn die Namen der Erpressungsmarken gewechselt wurden, bleiben die Kernmechanismen auffällig konsistent. In den Berichten wird deutlich, wie Angreifer mit einer Mischung aus Vishing, Umgehung von Schutzmaßnahmen und Manipulation von Authentifizierungsprozessen Zugang zu Cloud-Umgebungen gewinnen.
Was steckt hinter der Vishing-Extortion UNC6671 Masche?
UNC6671 agiert als Erpressergruppe, die maßgeschneiderte Voice-Phishing-Angriffe (Vishing) mit IT-Hotline-Inszenierungen kombiniert. Das Ziel sind Mitarbeitende in betroffenen Organisationen: Die Täter geben sich als IT-Support oder Helpdesk-Mitarbeitende aus und melden sich häufig über Mobilnummern.
Im Gespräch nutzen die Angreifer einen Druck- und Zeitdruckrahmen. Sie behaupten etwa, es stünden dringende Sicherheitsmigrationen an oder es gebe eine obligatorische Umstellung. Dadurch sollen die Angerufenen in einen Lern- oder Handlungsmodus geraten, der sie anfälliger macht für Eingaben auf Phishing-Portalen.
Von BlackFile zu neuen Marken: Umbenennung ohne Methodenwechsel
GTIG beschreibt, dass die Gruppe Anfang 2026 erstmals unter der Bezeichnung BlackFile auftauchte. Bereits im Mai hatte GTIG gewarnt, dass Angriffe auf Dutzende Organisationen in Nordamerika, Australien und dem Vereinigten Königreich stattgefunden haben. Im Anschluss stellte GTIG fest, dass BlackFile als Erpressungsname nicht mehr verwendet wird.
Stattdessen operiert UNC6671 laut den Erkenntnissen weiter – nun unter mehreren Marken, darunter Redact, Pink, Helix und Falcon. Die Erpressung richtet sich dabei vor allem gegen Branchen wie Finanzdienstleistungen, Private Equity und professionelle Dienstleistungen.
Wichtig ist: Trotz unterschiedlicher Marken in den Erpressungsnachrichten seien die Taktiken, Techniken und Prozeduren weitgehend gleich geblieben. Für Verteidiger bedeutet das: Selbst wenn Angreifer den Mantel wechseln, bleibt der Angriffskern häufig derselbe.
Wie UNC6671 Zugangsdaten und MFA-Token abgreift
Ein zentrales Element der Angriffe ist das Ausnutzen von Adversary-in-the-Middle (AiTM)-Techniken. Dadurch können Angreifer Sicherheitskontrollen umgehen, die gegen klassische Phishing-Versuche entwickelt wurden. Laut GTIG zielte UNC6671 vor allem auf Microsoft 365 und Okta-Infrastrukturen.
Die Betrüger lenken Mitarbeitende auf nachgeahmte Login-Portale. Sobald die Zielperson die Daten eingibt, können die Angreifer die Credentials sowie MFA-Tokens abfangen. Besonders tückisch: Die Täter platzieren das Ganze in einem Szenario, das wie eine legitime Sicherheitsmaßnahme wirkt.
Die Anrufe sind dabei häufig nicht nur „zufällig“: In mehreren Fällen wird berichtet, dass Helpdesk-Telefonnummern gespooft werden. Zusätzlich nutzten die Angreifer kompromittierte E-Mail-Adressen, um Kennwörter für nicht-SSO-Enterprise-Anwendungen zurückzusetzen. Um die Entdeckung zu erschweren, sollen sie Bestätigungsnachrichten, Alerts und Benachrichtigungen löschen.
Phishing-Portale mit generischen Domains und zielgerichteten Unterdomains
GTIG nennt außerdem einen auffälligen Aspekt bei den verwendeten Domain-Strategien. UNC6671 greift demnach auf generische Root-Domains zurück, die bei mehreren Opfern eingesetzt werden. Beispiele aus den Beobachtungen sind unter anderem passkeyhelpdesk[.]com, portalpasskey[.]com, addssopasskey[.]com, passkeydeploy[.]com und mysecurepasskey[.]com.
Je nach Erpressungsmarke können einige Domains exklusiver wirken. Dennoch lassen sich Verbindungen zur UNC6671-Aktivität über die eingesetzten Phishing-Templates ableiten, die auf das Einsammeln von Zugangsdaten ausgelegt sind.
Besonders relevant für die Erkennung: GTIG weist darauf hin, dass die Muster bei der Domainregistrierung auf eine regelmäßige Anpassung der Zielauswahl hindeuten. Zudem werden Subdomains verwendet, in denen potenzielle Opfernamen enthalten sind. Damit hosten die Angreifer individuell wirkende Credential-Harvesting-Panels, die für die Zielperson „stimmig“ erscheinen können.
Neuer Leak-Bereich unter Redact und Hinweise auf verbundene Akteure
Im Juni soll UNC6671 unter der Marke Redact eine neue Datenleck-Seite eingerichtet haben. In der Ankündigung wurde laut GTIG der Abschied von BlackFile thematisiert, verbunden mit der Behauptung, die Operation sei von einem Affiliate übernommen worden.
Die Beobachtungen der GTIG-Monitorings zeigen außerdem Überschneidungen zwischen den Aktivitäten verschiedener Erpressungsmarken. Diese Übereinstimmungen stützen die Einschätzung, dass ein gemeinsamer Verbund von Akteuren hinter mehreren Brands steckt. GTIG lässt jedoch mehrere Szenarien als möglich offen – etwa gesplittete Affiliates oder gemeinsame Phishing-as-a-Service-Strukturen.
Entwicklung der Erpressung: Beträge, Verhandlungen und Bitcoin-Zahlungen
Die Berichte enthalten auch Hinweise auf die finanzielle Dimension der Kampagnen. Zwischen Januar und Mai soll UNC6671 insgesamt über 10 Millionen US-Dollar in Bitcoin über 18 Wallet-Adressen erhalten haben. Diese Summe wird als Erpressungszahlung eingeordnet.
Ein Teil der Zahlungen soll erfolgt sein, selbst nachdem BlackFile öffentlich als Erpressungsname „abgeschaltet“ worden sein sollte. Das spricht dafür, dass die operative Durchführung unabhängig vom öffentlichen Branding weiterlief.
GTIG nennt außerdem typische Größenordnungen: Anfangsforderungen lägen häufig bei etwa 1 Million bis über 3 Millionen US-Dollar. In Verhandlungen würden die Betreiber laut den Erkenntnissen jedoch oft Zugeständnisse machen und Reduzierungen zwischen 50% und 75% gewähren. In über 53% der beobachteten Fälle in diesem Zeitraum lag die durchschnittliche Endzahlung bei rund 750.000 US-Dollar.
Warum die Veränderungen trotzdem gefährlich bleiben
Für Organisationen ist die wichtigste Lehre: Brand-Wechsel sind kein Schutzmechanismus. Auch wenn die Erpressungsnamen angepasst werden, bleiben die beobachteten Vorgehensweisen zur Initial Access- und Post-Compromise-Phase offenbar ähnlich. Das erhöht die Wahrscheinlichkeit, dass ähnliche Bedrohungsbilder erneut auftauchen – nur eben mit anderer Verpackung.
Hinzu kommt, dass UNC6671 zielgerichtet vorgeht: Die Kombination aus vordergründig plausiblen Helpdesk-Gesprächen, AiTM-gestütztem Credential-Abgriff und der Nutzung von domainspezifischen Templates kann bei unachtsamer Reaktion schnell zur Kompromittierung führen.
Fazit: Vishing-Extortion UNC6671 verlangt konsequente Schutz- und Verifikationsroutinen
Vishing-Extortion UNC6671 steht laut GTIG beispielhaft für eine Angriffsform, die Erpressung mit starkem Social Engineering verbindet. Die Gruppe hat sich neu gebrandet und parallel ihre digitalen Auftritte angepasst – doch der Angriffsbaukasten zielt weiterhin auf Mitarbeiteranrufe, gefälschte Portale und das Abgreifen sensibler Zugangsdaten einschließlich MFA-Bezug.
Wer sich wirksam schützen möchte, sollte technische Kontrollen mit klaren Verifikationsprozessen für Support-Anfragen kombinieren. So lässt sich der „Helpdesk-Impuls“ der Angreifer frühzeitig bremsen, bevor Eingaben auf Phishing-Seiten überhaupt möglich werden.
Quelle: https://www.securityweek.com/vishing-extortion-group-unc6671-rebrands-after-making-millions/
