Silent Ransom Group entra fisicamente negli studi legali — e l'EDR non li vede

Martedì 26 maggio 2026 l'Internet Crime Complaint Center dell'FBI ha pubblicato FLASH-20260526-01, un alert TLP:CLEAR con una frase che gli incident-response lead del settore legale hanno dovuto rileggere due volte: "Se quel tentativo fallisce, SRG invia un threat actor sul luogo della vittima per accedere a un computer e inserirvi un dispositivo di storage."

"SRG" è il Silent Ransom Group — tracciato anche come Luna Moth, Chatty Spider, UNC3753 e Storm-0252. Colpiscono studi legali statunitensi dalla primavera 2023 e il FLASH è il riconoscimento federale che la kill chain ha superato il social engineering puro per arrivare all'intrusione fisica. Alla data dell'alert, 38+ studi hanno dati pubblicati sul leak site clearnet business-data-leaks[.]com, e i ricercatori che seguono il gruppo stimano gli studi compromessi totali oltre i 100, con un'impennata netta nei primi mesi del 2026. A gennaio Orrick, Herrington & Sutcliffe — studio con oltre 25 uffici globali e più di 1,5 miliardi di dollari di ricavi annui — è diventato il nome più pubblico della lista dopo aver rifiutato di pagare.

Questo articolo è su cosa il FLASH effettivamente significa per le difese endpoint, identity e network — e sul perché il settore legale si ritrova nella posizione scomoda di dover rilevare un attacco la cui premessa è che nessuno dei meccanismi di detection comprati nell'ultimo decennio guarda nel posto giusto.

La nuova kill chain: callback, RDP, poi una persona

La descrizione delle TTP nel FLASH è abbastanza compatta da poter essere letta per intero. La catena ha tre stadi:

1. Callback phishing o chiamata diretta. Gli operatori SRG inviano un'email di phishing o telefonano direttamente fingendosi l'IT interno della vittima. I pretesti più frequenti sono contestazioni di addebiti su abbonamenti, un aggiornamento di sicurezza urgente, o il follow-up di un test interno di awareness. L'obiettivo è portare l'utente al telefono con l'attaccante.
2. Pivot su remote desktop. Durante la chiamata, l'operatore guida l'utente all'apertura di una sessione di remote control — Zoho Assist, AnyDesk, Splashtop, ScreenConnect, qualunque tool usi davvero l'help desk dello studio. Dall'interno della sessione, l'attaccante muove i dati con strumenti nativi: WinSCP per il trasferimento file, e Rclone in binari rinominati per la sincronizzazione cloud verso tenant Google Drive o OneDrive controllati dall'attaccante.
3. Fallback fisico. Se l'utente insospettisce, riaggancia, o la policy help-desk dello studio blocca il tool remoto, la campagna non finisce. Una persona si reca fisicamente nello studio. Si presenta alla reception come IT support — a volte citando la telefonata precedente come copertura — e o convince un junior staffer a lasciarlo lavorare su una postazione, o ne raggiunge una incustodita. Entra una chiavetta USB. Escono i file.

Nessun payload ransomware. Nessuna fase di cifratura. Nessun malware da segnalare. Il FLASH descrive esplicitamente la toolchain post-compromesso come software di accesso remoto legittimo e supporti di memoria rimovibili — esattamente la toolchain di un help desk vero. La superficie forense è, di proposito, quasi vuota.

Cosa rompe lo stack standard

La maggior parte degli studi legali — anche quelli mid-market sopra i 100M di ricavi — ha comprato uno stack "moderno" di sicurezza tra il 2019 e il 2024 che assomiglia grossomodo a questo: un sensore EDR su ogni endpoint, un identity provider con MFA su Microsoft 365, un CASB che osserva l'uso SaaS, un MDR vendor che la notte legge la telemetria EDR. Lo stack difende molto bene contro malware con signature e pattern noti di movimento laterale. È strutturalmente cieco a ciò che SRG fa davvero.

Ripercorriamo la catena dal punto di vista del difensore:

Layer	Cosa osserva	Cosa fa SRG
EDR / AV	Process tree, signature binarie, memoria	Software di remote control firmato che l'help desk già esegue
Identity / MFA	Anomalie di autenticazione, impossible travel	Utente reale, sessione reale, l'attaccante segue via screen share
CASB / DLP	Upload SaaS a tenant non sanzionati	OneDrive / Google Drive — entrambi sanzionati per lo studio; l'attribuzione di tenant è fragile
Policy USB su EDR	Blocco classe mass-storage	Se non bloccato, la chiavetta del "tecnico" passa come hardware atteso
MDR overnight review	Alert EDR delle ultime 24h	Nessun alert da rivedere

È esattamente il gap a cui il FLASH FBI punta senza nominarlo. Tutti i controlli sopra passano l'audit. Nessuno vede la campagna. La copertura di Help Net Security ha citato la guidance del Bureau quasi a malincuore — verificare chiunque dichiari di appartenere all'IT interno prima di concedere accesso remoto o fisico — perché le raccomandazioni tecniche che l'FBI emette di solito non si applicano davvero quando l'attaccante non deploya alcun payload.

"Avevamo MFA, avevamo Defender, avevamo un SOC 24/7. L'attaccante aveva un telefono e una chiavetta USB. La timeline forense parte dall'email di estorsione."

— parafrasi di come più studi hanno descritto la ricostruzione post-incident al counsel durante l'ondata di primavera 2026

Cosa resta rilevabile: il filo

L'unica cosa che SRG non può rendere invisibile è la rete. Una postazione nell'ufficio di un litigator ha un baseline di traffico. Scarica posta, parla col document management, parla con i fornitori e-discovery, sincronizza OneDrive, accede al portale dell'ordine, ogni tanto parla con Lexis o Westlaw. Il volume di egresso in giornata normale è piccolo e a blocchi. Gli endpoint che storicamente caricavano quasi nulla ora devono spingere gigabytes in uscita nell'arco di una sessione.

Tre segnali sopravvivono in modo affidabile a ogni scelta di tradecraft SRG:

• Inversione di volume. Una postazione il cui baseline a 30 giorni mostra il 95esimo percentile di outbound a ~50 MB/giorno improvvisamente sostiene centinaia di MB/min per la durata di una sessione di remote control, oppure mentre un processo USB-attached legge il file server. Il segnale non è il numero assoluto — è il cambio di forma. Modelli di deep learning addestrati su sequenze PCAP per-host lo colgono mentre sta accadendo, non nel digest SIEM del giorno dopo.
• Novità di destinazione. Rclone verso OneDrive o Google Drive controllati dall'attaccante termina comunque su IP Microsoft / Google — ma lo specifico identificatore di tenant nel SNI TLS e nel fingerprint JA4, il pattern di refresh OAuth e la cadenza di upload a chunk sono visibilmente diversi dal tenant dello studio. Il clustering JA4 + SNI + ASN separa "il nostro personale che usa il nostro OneDrive" da "il nostro personale che usa l'OneDrive di qualcun altro" anche quando entrambi gli endpoint sembrano *.sharepoint.com. Rinominare il binario Rclone non nasconde il profilo di chunking e di concorrenza a livello di protocollo.
• Anomalie sui tool RDP. Anche i tool di remote control sanzionati (Zoho Assist, AnyDesk, ScreenConnect) hanno destinazioni di relay caratteristiche e distribuzioni di durata-sessione tipiche. Una sessione di durata anomala, verso un relay con cui lo studio non ha mai parlato prima, originata da una subnet che non è quella dell'help desk, è quattro volte su cinque un vero positivo.

Nessuno di questi richiede di decifrare TLS. Nessuno richiede la cooperazione dell'endpoint. Sono osservabili da uno SPAN port — che è esattamente la superficie di rete che la maggior parte degli studi ha smesso di strumentare perché il layer EDR / CASB era teoricamente sufficiente. Il fraseggio dell'alert FBI pubblico ("minimal forensic artifacts behind") è precisamente la dichiarazione che il lato host è arido e l'evidenza vive sul lato rete.

Cosa è in gioco per il settore

C'è un motivo per cui SRG si è restretto sugli studi legali — e ora, secondo il FLASH, si espande su assicurazioni, finanza e sanità. Gli studi legali sono un bersaglio asimmetrico per informazione: il document store di un singolo studio può contenere due diligence M&A, dati personali di executive, strategia di contenzioso pendente, depositi regolatori confidenziali, e dati sanitari tutelati da pratiche di malpractice medica, tutto nello stesso posto. La leva estorsiva non è lo studio — sono i clienti dello studio.

Quella matematica estorsiva ha conseguenze di compliance che si sommano alla violazione:

• Dovere deontologico di custodia. In Italia il Codice Deontologico Forense impone all'avvocato il segreto professionale (art. 13 e seguenti) come dovere primario; un'esfiltrazione massiva del fascicolo è territorio disciplinare presso il Consiglio dell'Ordine, non solo regolatorio. Negli Stati Uniti, ABA Model Rule 1.6(c) richiede agli avvocati di "compiere sforzi ragionevoli per impedire la divulgazione inavvertita o non autorizzata di, o l'accesso non autorizzato a, informazioni relative alla rappresentanza di un cliente." Diversi state bar hanno emesso opinioni formali (es. ABA Formal Opinion 483) che descrivono come "ragionevole" appaia post-incidente. "Avevamo EDR ma nessuna visibilità sul traffico" sarà una linea molto più difficile da difendere davanti a un comitato disciplinare nel 2026 di quanto non fosse nel 2020.
• GDPR Art. 33 / 34. Gli studi italiani ed europei devono notifica al Garante entro 72 ore in caso di violazione di dati personali, e notifica agli interessati quando il rischio è elevato. Per gli studi italiani il segreto professionale forense aggiunge un livello deontologico autonomo.
• Esposizione derivata NIS2 / DORA. Gli studi legali non sono direttamente in scope NIS2 o DORA, ma i loro clienti sì — e la cascata contrattuale via "rischio terze parti ICT" significa ormai che il consulente esterno di una banca DORA-regolata risponde al cliente sugli stessi clock di incident reporting su cui risponde la banca.

Per lo studio è un problema reputazionale. Per i clienti dello studio è un problema di compliance. La posizione di breach che si riesce a difendere davanti a tre interlocutori diversi — l'Ordine, il regolatore, il GC del cliente — dipende dall'avere evidenza continua, marcata temporalmente, e a prova di manomissione del fatto che si è visto l'egresso mentre stava accadendo e si è agito.

Dove si inserisce Zero Hunt

Due cose devono funzionare contemporaneamente perché uno studio possa difendersi credibilmente da una campagna in stile SRG: detection sul filo ed evidenza che regge dopo i fatti.

Sul filo. La componente AI Traffic Analysis di Zero Hunt è un modello proprietario di deep learning con quattro teste di inferenza in parallelo — traffico sospetto, classificazione malware, identificazione del tipo di attacco, fingerprinting applicativo — che gira sulla GPU dell'appliance on-prem con un baseline di 2,7+ Gbit/s. È addestrato su miliardi di sequenze PCAP proprio per l'inferenza di volume, novità di destinazione e anomalia di sessione descritta sopra. Non richiede decifratura TLS, non richiede agent endpoint che si esprimano, e gira contro una sessione in corso, non contro i log della notte precedente. Il caso Marimo CVE-2026-39987 che Sysdig ha divulgato il 29 maggio era un attaccante diverso ma la stessa classe di detection: una sessione autenticata che porta fuori dati a un ritmo che il suo baseline non consente. Le sessioni Silent Ransom Group hanno la stessa firma per il modello — RDP screen share con outbound anomalmente sostenuto, poi una signature di chunking cloud-storage contro un tenant mai visto. Un SOC vede il segnale al minuto tre, non nell'email di estorsione tre settimane dopo.

Per la catena di evidenza. La componente di compliance automatica mappa ogni anomalia osservata, ogni sessione segnalata e ogni azione di remediation contro 32 framework — controlli ABA-aligned, GDPR Art. 33, NIS2 Title 13 incident reporting, classificazione incident DORA, ISO 27001 — con bundle firmati ECDSA per finding e per scan. Il Trust Center esporta un evidence pack auditor-ready con chain-of-custody by construction, che è l'artefatto di cui un managing partner ha bisogno davanti a un Consiglio dell'Ordine, davanti a una notifica al Garante entro 72 ore, e davanti alla clausola di outside-counsel-incident-review del GC del cliente. Il punto della firma non è la crittografia — è che l'evidenza non può essere ripulita silenziosamente dopo i fatti.

Nessuna di queste affermazioni dice che la gita con la chiavetta USB di SRG sia "prevenuta". Niente impedisce a una persona che si presenta come IT di sedersi a una scrivania. L'argomento è che lo studio veda la campagna mentre sta accadendo, abbia un evidence pack che regge in deposizione, e l'email di estorsione non sia più il primo segnale della violazione. È esattamente il gap che il FLASH FBI 20260526-01 sta descrivendo. Il resto è come il settore legale lo chiude.