本篇为 Solar 应急响应团队发布的《2025年勒索病毒态势年度分析报告》系列内容之一。鉴于报告内容较多、篇幅较长，我们将采用分章节连载的形式，陆续发布全部分析内容。
2025/09/07 16:15:32.000 攻击者从192.168.xxx.xxx使用administrator登录192.168.xxx.xxx Sxxxxx01。
图 39 加密前攻击者登录
2025/09/07 16:15:34.000 攻击者修改192.168.xxx.xxx修改防火墙策略，一次性放开所有配置文件的 RDP，同时Shadow 功能（远程协助/会话镜像）也被放开，推测攻击者为了方便监控或操作会话。
图 40 防火墙配置修改
2025/09/07 16:19:17.000 攻击者通过192.168.XXX.XXX连接192.168.XXX.XXX。
图 41 攻击者通过192.168.XXX.XXX连接192.168.XXX.XXX
2025/09/07 22:14:46.000 关闭192.168.XXX.XXX ESXI上的虚拟机并加密。
图 42 加密前攻击者关闭ESXI虚拟机
2025/09/07 22:15:30.000 停止192.168.XXX.XXX的虚拟机。
图 43 加密前攻击者关闭ESXI虚拟机
2025/09/07 22:25:08.000 192.168.XXX.XXX关闭对192.168.xx.xxssh连接。
图 44 加密后攻击者退出ssh
2025/09/07 22:31:35.000 192.168.7.42关闭192.168.XXX.XXX ESXI上的虚拟机并加密。
图 45 加密前攻击者关闭ESXI虚拟机
2025/09/07 22:32:33.000 从192.168.xx.xx关闭对192.168.XXX.XXX ssh连接。
图 46 加密后攻击者退出ssh
2025/09/07 22:38:08.000 关闭192.168.xx.xx上的xxxClient虚拟机。
图47 加密前攻击者关闭ESXI虚拟机
2025/09/07 22:48:58.000-22:49:29.000 攻击者在192.168.XXX.XXX SHBAK01上部署frp建立代理隧道。
图48 frpc服务注册
图49 iKuai上监测到的隧道连接流量
2025/09/07 22:49:15.000 从192.168.XXX.XXX连接192.168.XXX.XXX ssh，紧接着关闭所有虚拟机。
图 50 攻击者加密前后操作
2025/09/08 01:32:11.000 从192.168.XXX.XXX关闭对192.168.XXX.XXX ssh连接。
图 51 攻击者加密前后操作
2025/09/08 5:00:44.000 5.182.XXX.XXX连接192.168.XXX.XXX，该IP与第一次入侵192.168.XXX.XXX为同IP。
图 52 5.182.4.55连接192.168.XXX.XXX
2025/09/10 13:54:00.000 攻击者通过192.168.XXX.XXX最后一次发起的连接目标192.168.XXX.XXX。default.rdp 文件 是 Windows 远程桌面客户端（mstsc.exe）在用户配置目录下自动生成的一个配置文件，保存的是 上一次你运行远程桌面时所使用的连接参数。
图 53 default配置文件
2025/09/12 3:45:29.000-2025/09/17 8:25:00.000 攻击者在此期间，分别于09/12、09/15、09/16、09/17通过wmi在192.168.xxx.xxx上查询该计算机上的安全软件。
图 54 攻击者第一次于192.168.xxx.xxx上查询该计算机上的安全软件
图 55 攻击者最后一次于192.168.xxx.xxx上查询该计算机上的安全软件
第四章 勒索软件技术发展与风险趋势研判
一、AI 技术对勒索攻防形态的影响
1.智械危机：AI 驱动下的勒索软件生态演进与代际更替
2024 年至 2025 年间，勒索软件生态经历了从“人工运营”向“智能化驱动”的历史性跨越。Solar 安全团队基于多源威胁情报（包括 Ransomlive 监测数据、暗网 RaaS 面板分析及 NYU/ESET 技术复盘）分析发现，AI 技术已不再仅是勒索软件开发者的辅助工具，而是正在重构从代码编写、运营交付到载荷执行的全生命周期。当前的勒索软件威胁呈现出明显的“三级阶梯式”演进特征。
2.运营门槛的崩塌：AI 辅助下的规模化扩张
在“入门级”威胁层面，AI 极大地降低了网络犯罪的技术门槛，导致低水平攻击者（Script Kiddies）也能发动复杂的全球性攻击。据 Bitdefender 与 SonicWall 联合监测数据显示，自 2024 年 11 月首次活跃以来，新兴组织 FunkSec 在短短数月内即成功入侵了超过 120 家机构，受害者遍布美国、印度、西班牙等全球多个区域，覆盖政府与国防等高价值目标。 尽管逆向分析显示 FunkSec 的核心代码中保留了大量由 LLM（大语言模型）生成的注释，暴露出攻击者自身底层编码能力的匮乏，但其利用 AI 编写的 DDoS 脚本与加密器依然具备实质破坏力。更值得警惕的是，FunkSec 率先部署了基于 Miniapps 平台的 AI 聊天机器人，实现了多语言环境下的自动化赎金谈判与受害者指引。这种“AI 客服”模式彻底打破了勒索运营的语言壁垒与人力瓶颈，是其能够短时间内实现规模化扩张的关键动因。
代码中的**AI**辅助
AI**聊天机器人**
3.供应链的敏捷革新：**RaaS 生态的智能化重构**
在“专业级”威胁层面，成熟的 RaaS（勒索即服务）家族开始利用 AI 优化其商业生态与供应链交付。根据 Solar 团队对 Nova 家族（RaLord 变种）的深度追踪，该家族代表了“AI + 敏捷开发”的新范式。Nova 利用 AI 辅助编程构建了高效的流水线，使其病毒版本更新极快，能够迅速响应安全厂商的防御策略。 不同于传统家族，Nova 利用 AI 技术攻克了“本地化”难题，特别针对中国市场实现了“母语级”的招募与渗透，并结合 Rust 语言开发的高性能加密器与仅 15% 的低抽成策略，迅速在黑产市场中抢占份额。其 RaaS 控制面板集成了 AI 生成的现代化 UI 与智能后台，显著提升了分销商（Affiliates）的使用体验。Nova 的案例表明，AI 已被头部家族转化为核心竞争资产，用于构建更具粘性的犯罪生态系统。
4.静态防御的失效：原生 AI 恶意软件的“动态多态”
在“战略级”前沿威胁层面，以 PromptLock 为代表的“勒索软件 3.0”正在颠覆传统的反病毒检测逻辑。基于 ESET 捕获样本及 NYU 的研究复盘，PromptLock 彻底抛弃了硬编码恶意逻辑的传统架构，转而采用 Go 语言编写的“AI 连接器”形态。该样本在运行时调用本地部署的大模型（如 gpt-oss:20b），通过多轮次的“提示词注入（Prompting）- 代码生成 - 自我纠错（Self-Correction）”循环，在内存中动态生成 Lua 恶意脚本。 逆向数据显示，PromptLock 具备极强的环境感知与智能决策能力。它能根据侦察结果（如系统类型、数据价值）自主决定执行 Encrypt（加密）、Exfiltrate（窃取） 还是 Destroy（销毁） 操作，并能利用 <success>/<feedback> 标签机制自动修复执行失败的代码。这种“运行时多态（Runtime Polymorphism）”特性意味着每一次攻击生成的哈希值与代码结构均不相同，使得基于静态特征库的主流杀毒引擎几乎完全失效，标志着勒索攻防正式进入“行为分析为王”的新时代。
二、从“技术犯罪”到“全球化商业体系”
1.宏观演进：全球化商业犯罪体系的确立
2024-2025 周期内，全球勒索软件支付规模达到了惊人的 17.3亿美元 ($17.3B)，活跃攻击家族数量稳定在 50个 左右，且专业化程度显著增强。
市场规模爆发： 2024-2025 周期内，全球勒索软件支付规模达到了惊人的 17.3亿美元 ($17.3B)，活跃攻击家族数量稳定在 50个 左右，且专业化程度显著增强。
产业链条分工： 整个生态已异化为成熟的“黑色 SaaS”平台。犯罪环节被精细拆解，出现了专门负责初始访问接入（IAB）、恶意代码生成、谈判服务以及流量调度的独立供应商，各环节通过 API 和共享平台进行协作，大幅提升了犯罪效率。
2.生态分化：平民化扩张与精英化博弈
2025 年的勒索生态呈现出极端的“二元分化”特征，形成了“下沉市场”与“高端定制”并存的局面：
2.1 大规模“平民化”扩张（Mass Market）
以 DragonForce 为代表的组织通过极致降低准入门槛，推动了攻击的“平民化”：
- 加盟门槛暴跌： 传统的 RaaS（勒索即服务）加盟押金通常在 $2,000 -$10,000 之间，而 DragonForce 将其降至仅需 $500。
- 自动化注册（Auto-Reg）： 引入了无需面试即可获得面板权限的机制，结合 Rust 语言封装的“开箱即用”攻击包，使得非技术人员也能轻松参与攻击，导致攻击尝试频率呈指数级上升。
2.2 高端“狙击型”生态（Elite Tier）
以 Qilin 为代表的顶层组织则选择了截然不同的路线：
- 精英筛选： 坚持严格的附属成员筛选机制，专注于针对高价值目标的“大猎杀”（Big Game Hunting）。
- 基础设施互联： RAMP 4u 等平台开始发挥“黑产中间件”的作用，提供跨组织的人才招募与初始访问分发，实现了黑产资源的深度共享。
3.商业逻辑变革：合规武器化与 ROI 导向
3.1 从“能付钱”到“必须付钱”
2025 年的新型勒索谈判已不再单纯依赖数据价值，而是将监管合规机制转化为攻击武器：
- Qilin 的 "Call Lawyer" 机制： 攻击者在谈判面板中增加了法律专家服务，直接向受害者剖析数据泄露将面临的 GDPR 或 SEC 处罚，利用企业的合规恐惧倒逼支付。
- 监管的三位一体压力： 在中国，央行 2025 新规明确了“及时报告、建立台账、配合检查”的要求。攻击者利用企业对监管处罚、业务中断和声誉受损的担忧，构建了包含合规、法律、经营风险在内的“系统性风险”勒索模型。
3.2 行业靶向的 ROI 逻辑
攻击者的选择遵循绝对的商业回报率（ROI）：
- 金融行业的困境： 虽然金融行业在整体攻击占比中仅排第三（7%），低于制造业（18%）和高新技术业（17%），但其勒索赎金中位数高达 $5,000,000+，远超其他行业。
- 核心结论： “谁最赚钱就打谁”成为攻击者的核心逻辑，金融行业因高昂的赎金支付能力（最佳 ROI），成为了攻击者优先选择的高价值目标。
三、专精无加密勒索的全面兴起
在 2024 至 2025 年的勒索软件威胁版图中，一个最具颠覆性的趋势正在加速形成：无加密勒索（Encryption-Less Ransomware） 的异军突起。
传统的勒索攻击依赖于“加密文件”来阻断业务，迫使企业支付赎金以获取解密密钥。然而，随着企业数据备份体系（Backup & Recovery）的日益完善，单纯的加密攻击成功率显著下降。面对这一防御困境，攻击者选择了极其实用的进化路线：彻底放弃复杂的加密过程，专注于数据窃取（Data Exfiltration）与隐私勒索。
1.家族谱系：三次重生的“变形记”
在勒索软件的演进史上，很少有组织能像 World Leaks 这样清晰地展示出“适者生存”的进化逻辑。该组织并非凭空出现，而是顶级攻击者组织历经两次“重生”后的最终形态：
- 起源（Origins）： 其根源可追溯至臭名昭著的 Hive 勒索组织。在 Hive 的基础设施被执法部门摧毁后，其核心成员并未消散，而是重组为 Hunters International，并于 2023 年末开始活跃。
- 品牌重塑（Rebranding）： 2025 年 1 月是一个里程碑式的时间点。Hunters International 正式停止了所有基于文件加密的攻击活动，并更名为 World Leaks。这一举动标志着该组织彻底抛弃了传统的勒索软件（Ransomware）外衣，转型为纯粹的数据勒索实体。
Hunters International关于该项目结束的声明
2.模式重构：EaaS 与“自动化掠夺”
World Leaks 的出现定义了 “勒索即服务”（Extortion-as-a-Service, EaaS） 的新标准。与传统的 RaaS（Ransomware-as-a-Service）不同，EaaS 模式不再提供加密器，而是专注于数据的“流转”与“变现”：
- 自动化提取工具： World Leaks 为其附属成员（Affiliates）提供高度自动化的数据提取工具。攻击者无需具备深厚的渗透技能，只需部署工具即可自动扫描并窃取敏感数据。
- 单一压迫点： 攻击链条被极致简化为“窃取 $\rightarrow$ 威胁”。如果受害者拒绝支付，被盗数据将被直接发布在 World Leaks 维护的 Tor 网站上。这种“不付款即公开”的单一策略，消除了受害者对于“解密失败”的侥幸心理。
新推出的World Leaks附属小组的登录页面
3.战略动机：去加密化的成本逻辑
World Leaks 放弃加密（No Encryption）并非技术倒退，而是基于风险与成本的精明计算：
- 降低复杂性与风险： 维护一套稳定的加密/解密密钥管理系统需要巨大的技术成本，且容易因代码漏洞（如之前的 Hive 解密器漏洞）被安全公司攻破。放弃加密，意味着消除了这一技术短板。
- 规避法律与打击： 相比于破坏系统可用性（加密），单纯的数据窃取在某些法律管辖区被视为“数据泄露事件”而非“破坏计算机信息系统”，这在一定程度上降低了执法部门介入的优先级，同时使得攻击行为更具隐蔽性。
发表于 2026-4-29 22:54
分享到朋友圈
