La táctica principal de TUNNEL SPIDER es el "big game hunting", donde van específicamente tras grandes empresas con los recursos para pagar rescates sustanciales. Sus operaciones se centran en la doble extorsión: no solo cifran los archivos de sus víctimas, sino que también roban datos sensibles y amenazan con filtrarlos públicamente si no se paga el rescate. Esto ejerce una presión inmensa sobre las víctimas para que cumplan.

Para lograr sus objetivos, TUNNEL SPIDER usa varias técnicas para obtener y mantener acceso. Si bien sus métodos de acceso inicial no están tan documentados públicamente como los de grupos como Scattered Spider, probablemente aprovechan vectores de infiltración empresarial comunes, como la explotación de vulnerabilidades sin parchar, el phishing o la compra de credenciales robadas.

Una vez dentro de una red, usan técnicas de tunneling (creando canales cifrados mediante VPN u otras herramientas proxy) para moverse lateralmente, comunicarse con sus servidores de comando y control (C2) y exfiltrar datos mientras evaden la detección de las herramientas de seguridad. Esta capacidad de "tunelizar" a través de una red es una parte fundamental de su manual operativo.

TUNNEL SPIDER es más conocido por implementar el ransomware Cactus. Esta cepa en particular se destaca por su uso de tácticas de doble extorsión. Además de su payload principal, TUNNEL SPIDER también ha operado como afiliado de otros grupos de RaaS prominentes, entre ellos:

• LockBit

• Black Basta

• Royal

Esta actividad como afiliado muestra su capacidad de adaptación y su profunda integración dentro del ecosistema del cibercrimen, lo que les permite cambiar de cepa de malware según la efectividad y la oportunidad.