写在前面
7月14日，DragonForce在其暗网泄露站点上，几个小时内接连挂出四家国内科技与制造企业，涉及数据总量超过1.4TB。我们在事发48小时内发布了专项预警。
预警文章发出后，不少读者问：这个DragonForce到底是什么来头？之前没怎么听过，为什么一出手就是这么大的动静？
其实这个家族已经活跃了整整三年。它2023年8月首次出现，在勒索病毒地下市场里算是后来者，但成长速度远超同期家族。更值得注意的是它的运作方式：它不太像一个传统意义上的黑客团伙，更像一家把勒索当成主营业务来经营的公司，有产品、有渠道、有客服，也有品牌意识。
这篇文章不做具体案例复盘。我们把长期监测到的公开信息、后台界面截图和逆向分析结果整理出来，系统讲清楚这个家族的运作逻辑，以及它对防守方意味着什么。
一、家族档案：活跃三年，634家企业被挂牌
DragonForce是一个勒索软件即服务（RaaS）组织，2023年8月开始活跃，采用典型的双重勒索模式：先窃取数据，再加密系统，受害者不按要求付款，就把数据公开在自家泄露站点上。
根据Solar威胁情报平台的监测数据，截至2026年8月，被该组织勒索并挂牌的企业达到634家，波及64个国家和10个行业，监测期内的月度新增数量整体呈上升趋势，2026年以来增长明显提速。受害者分布上，46%位于美国（294家），其后依次是英国（44家）、德国（32家）、加拿大（20家）、意大利（19家）和澳大利亚（18家），法国、印度、瑞士及中国香港等均在列；行业上，专业服务（144家）与制造业（139家）首当其冲，科技（73家）、零售与电子商务、医疗保健、交通运输、金融服务、能源与公用事业等无一幸免。
DragonForce暗网泄露站点首页，受害者以卡片形式公示，逐一标注所在地区、业务描述和被窃取的数据量
Solar威胁情报平台收录的DragonForce家族档案，总受害者634家，含行业分布、国家分布与月度增长曲线
它的目标偏好很明确：经济价值高、IT基础设施庞大复杂、对业务中断"零容忍"的企业。原因不复杂，这类企业付得起钱，也停不起工。
二、两套加密器：一套来自泄露，一套自己改写
DragonForce的联盟成员可以使用两套勒索软件。
第一套是LockBit 3.0的变种。LockBit的构建器源码此前在地下市场泄露，DragonForce在此基础上做了改造，成熟稳定，加密速度快。
第二套是它自己开发的版本，基于Conti V3的源码修改，最大的特点是自带恶意驱动程序。这种手法在行业内被称为BYOVD（Bring Your Own Vulnerable Driver，自带脆弱驱动）：攻击者在受害者系统上加载一个带有合法数字签名、但存在内核漏洞的驱动程序，利用系统对合法签名的信任进入内核层，从底层终止或致盲EDR、XDR等终端防护软件。它攻击的不是某个具体漏洞，而是整个信任机制。这也是不少部署了终端防护的企业仍然被加密的原因之一。
我们对该家族的加密器做过完整的逆向分析，几个关键结论值得记录：加密采用ChaCha20与RSA双重算法，每个文件使用独立随机生成的密钥；加密策略按文件类型差异化处理，数据库文件100%全加密，虚拟机文件只加密20%，1MB以下的小文件全加密，1MB到5MB的文件只加密头部，5MB以上的大文件分5段条状加密、合计50%。这套策略的意图很清楚，在保证破坏效果的前提下，把加密耗时压到最短，压缩防守方的响应窗口。
DragonForce加密器执行流程，初始化反HOOK模块、解析参数、批量创建加密线程、删除影卷备份、执行网络扫描
加密完成后，原文件名经base32编码，追加.dragonforce_encrypted后缀，勒索信以readme.txt释放。目前该家族没有可用的免费解密器。平台覆盖方面，按它自己在招募帖里的说法，Windows、ESXi、BSD、NAS、Linux全部支持。
三、80%分成的联盟生意，一小时就能组建团队
DragonForce能快速做大规模，靠的不是自己动手，而是把攻击"分包"出去。
2024年6月26日，它在Ramp黑客论坛发布招募帖，公开邀请"合伙人"加入，开出的条件在当时的勒索市场里相当激进：赎金的80%归联盟成员，平台只留20%。招募文案写得很像正规公司的招聘广告：全流程自动化、作战软件覆盖ESXi/NAS/BSD/Windows、7×24小时服务器监控、Anti-DDoS防护、PB级无限存储、免费的呼叫中心服务，最后还补了一句"work without paranoia"，意思是安心干活，不用提心吊胆。
DragonForce在Ramp论坛发布的招募帖，明确写着"80% goes to you (we only take 20%)"
这还不算完。它后来在暗网首页顶部挂出一条横幅："We've opened the public registration, build your own RaaS team in 1 hour"。开放公开注册，号称一小时就能组建自己的勒索团队。
DragonForce暗网首页的公开注册横幅，以及"Welcome, Miami!"、"Suppliers"等官方公告
招募帖和横幅只是门面，真正的问题在于：加入之后，联盟成员拿到的到底是一套什么样的系统？
我们获取其联盟后台的界面。如果遮住顶部的龙形标志，这套系统和一家公司的OA后台几乎看不出区别。进入后台的第一道门槛就很"企业"：账号、密码、登录按钮，和任何一家公司的内部系统登录页没有任何不同。
DragonForce联盟后台登录页，标准的账号密码登录流程
登录进去，早期版本的导航栏上有七个模块：CLIENTS（客户管理）、BUILDER（样本构建）、MY TEAM（团队管理）、PUBLICATIONS（发布管理）、RULES（规则）、BLOG（博客）、PROFILE（资料），一应俱全。
联盟后台早期版本的导航栏，七个功能模块完整可见
而这还只是一个中间版本。2026年8月6日的最新界面显示，后台导航栏已经扩充到十个入口：GOLDEN BUTTON（黄金按钮）、OVERVIEW（工作台）、CLIENTS、BUILDER、MY TEAM、PUBLICATIONS、README（自述文件）、NEWS（新闻）、TICKETS（工单）、PROFILE。一个勒索平台在持续迭代自己的产品线，这件事本身就值得警惕。
接下来，我们按导航栏的顺序，逐个模块看一遍。
OVERVIEW：可定制的工作台
点开OVERVIEW，先看到一排统计卡片：在手受害者总数、待处理、谈判中、已删除、已发布、已解密，逻辑和CRM系统里的销售漏斗完全一致。中间是受害者列表，状态、创建者、公司网址、数据规模、倒计时、创建时间逐列排开。页面底部留给工单和新消息。这套工作台甚至连布局都可以自己拖：统计、客户、发布、工单四个组件支持移动、禁用和编辑，跟企业SaaS的个性化首页是同一个设计思路。
OVERVIEW工作台，顶部为受害者状态统计，列表中Revenue列标注赎金金额
工作台设置弹窗，四个组件可自由启用、禁用和调整顺序
CLIENTS：客户管理，外加两个聊天室
客户管理页藏着整套系统里最有"公司味"的设计：页面左侧直接内嵌了一个即时聊天窗口，分"全球的"（Global）和"团队"（Team）两个频道，底部状态栏实时显示WebSocket连接状态。右边管着受害者名单，左边聊着工作，算是把企业办公做进了CRM。
CLIENTS页面，左侧为全球与团队双频道聊天室，右侧为受害者列表（界面为便于阅读做了汉化处理，下同）
全球聊天室里都在聊什么？署名root的平台管理员像所有公司的技术负责人一样发全员公告：文件系统因上传下载负载过高决定重写，新版本正在推进；Windows加密器的v2版本正在各种环境下测试，将支持命令行参数、换用BearSSL加密库、增加模拟用户身份等功能。公告结尾还不忘致谢："谨代表DragonForce合作伙伴计划，感谢您与我们携手共进"。
普通成员在聊业务。有成员推销平台新上线的"公司数据审计"服务："一份新的公司名单已经出炉，这些公司即使经过正确的日期分析，仍有95%的情况下会无故付款"，一分钟后又追了一条更正，"我的意思是他们无需锁定即可付款"。换句话说，名单上的企业就算没有被加密，也有九成五的概率会掏钱把数据买回去。有人接话问：审计部门会自己发邮件、打电话，还是只对数据做审计？对方的回答言简意赅："两者兼有"。管理员偶尔也在里面吆喝生意："美国优质新网络现已开放购买"。
全球聊天室记录，成员推销数据审计服务，称名单上95%的企业未被加密也会付款
BUILDER：表单化的样本生产线
在构建器里，联盟成员勾选目标公司的网址、年收入、测试解密开关、赎金支付时限、加密比例、排除的目录和文件、用于终止终端防护软件的驱动，点击创建，就能下载一套为该受害者定制的样本，Windows和ESXi版本打包提供。
样本构建器界面，多平台选项与加密参数全部以表单形式配置
MY TEAM：一小时组建团队，不是一句口号
MY TEAM模块里，每个联盟团队都被当成一个独立经营单元来管理：页面上方是管理员名单和下级成员（Advertisers）名单，下方是一张团队经营曲线图，考核指标包括样本构建数、发帖数、新增硬件数、新增成员数和BTC收益，跟公司给业务部门画的增长报表一模一样。
MY TEAM团队管理页，含管理员列表、下级成员列表和团队经营数据曲线
团队长点击ADD ADVER就能给团队招人：填登录名和密码，然后勾选权限，能不能在聊天室发言、能不能管理受害者的倒计时、能不能锁定客户，逐项配置，一个带角色权限体系的"员工账号"就建好了。这套东西放在任何一家正规互联网公司，都叫组织架构管理。所谓"一小时组建自己的RaaS团队"，靠的就是这套现成的账号和权限体系。
创建下级成员账号的弹窗，发言、倒计时管理、客户锁定等权限逐项勾选
PUBLICATIONS：泄露内容的内容运营
发布管理模块对应着对外泄露站点的排期。每一家企业都是一条待发的"稿件"，表格里带可见性开关、发布时间、浏览量（Views）和转发量（Forwarded）统计。泄露数据的传播效果，是被当成运营数据来跟踪的。
README：员工手册加产品文档中心
README模块分两部分。第一部分是14条平台规则，页面标注最近更新于2025年4月22日：禁止攻击医院、关键基础设施、非营利组织和独联体国家；赎金由系统自动分账，团队拿80%，平台抽20%；倒计时的标准配置是14天数据恢复期加28天谈判期，超时解密器永久删除、无法恢复；得手后3天内必须把窃取的文件上传平台，否则影响收款；给受害者的折扣上限45%；赎金由团队自行定价，区间从100美元到100万美元以上；测试解密全自动运行。最后还有一条"团队信任等级"制度：不同等级的团队解锁不同权限，逐级晋升，思路和会员积分体系完全相同。规则末尾写明了违约处理：平台有权单方面终止合作、封禁后台账号，但如果封号时还有谈判在进行，平台会把谈判接管过来谈完，该分给团队的那一份照发。一手封号，一手保底，恩威并施。
README模块中的14条平台规则，含分账比例、倒计时时限、折扣上限与信任等级制度
第二部分是两册正式的产品手册，Windows版一册，ESXi/Linux/BSD/NAS版一册。写作口吻完全是正规软件厂商：运行模式怎么选、命令行参数逐条列表、加密模式分条状、百分比、头部、正常四档、白名单支持按文件名、目录、扩展名和网络资源排除，还特意说明日志本身也做了加密、只有管理员能解开，最后补一句"该产品已在大多数Windows版本上完成测试"。手册末尾甚至郑重致谢了技术社区上的一篇参考文章。如果不是内容本身，单看版式和行文，这完全是商业软件的帮助文档。
Windows版加密器产品手册，含运行模式、选项设置与白名单配置说明
ESXi/Linux/BSD/NAS版产品手册，命令行参数与加密模式均以表格形式逐条列出
NEWS：带PGP签名的官方公告栏
NEWS模块是平台对内的公告栏，每条公告都带PGP签名按钮，并区分"内部"（INTERNAL）和"共享"（SHARED）两种可见范围。最近几条公告的内容值得逐条品味：
2026年5月23日的功能更新，给访问权限供应商做了专属链接，卖权限的人点开链接就能实时围观自己那单生意的谈判进度，公告结尾写着"我们7×24小时工作，只为交付市场上最好的产品，感谢您选择我们"；一条安全更新宣布启用HWID权限隔离，把收款钱包地址和解密器拆到不同的聊天通道里分发，因为平台发现有"客户"在批量爬取钱包地址，公告直接点名，要防的是杀毒厂商和执法机构；还有一条公告正式宣布上线"可信合作伙伴聊天室"，理由是方便成员分享经验、找到同道、协调攻击，原话是"在等待下一笔赎金到账的日子里，也可以过得愉快一点"。迈阿密那条飞机横幅的照片，最早也是发在这个公告栏里的。
NEWS公告栏，公告区分内部与共享可见范围，均附PGP签名
TICKETS：可以下工单的客服系统
TICKETS是一套标准的工单系统。创建工单时下拉菜单已经分好了类目：呼叫受害者、解密哈希、审计文件、上传文件、创建和更新发布、技术支持、联系管理员，甚至专门有一栏叫"愿望与想法"，用来收集联盟成员对平台的功能需求，附件最大支持16MB。联盟成员在攻击中遇到任何问题，可以像企业员工找IT部门一样，给平台提一张工单。一个勒索平台开设了用户需求反馈通道，这在几年前的地下市场是不可想象的。
创建工单界面，八个工单类目涵盖业务支持与功能建议，支持上传16MB附件
Suppliers：有准入门槛的权限市场
除了联盟成员，平台还开通了Suppliers通道：手里握有企业网络访问权限的人，可以把权限直接卖给平台，按赎金分成结算。入驻页面上是一整套供应商守则：禁售清单、风险评估、责任划分、争议仲裁、财务条款，勾选"我会遵守供应商规则"，起个市场昵称就能提交申请。不会写代码、不会谈判都不要紧，只要负责"开门"，剩下的流程平台全包。
但页面底部有一行红字透露了门槛：现在无法加入，你需要至少一个已经付款的客户。意思是新人得先在联盟里做成一单、证明自己可靠，才有资格把权限拿到市场里卖。这套准入设计，和电商平台防止劣质商家入驻的逻辑一模一样。
Suppliers入驻页，完整供应商守则下方标注准入门槛：至少需要一个已成交客户
还有一项增值服务
2025年8月23日，DragonForce又上线了一项名为"公司数据审计"的增值服务，只面向年收入不低于1500万美元的目标。服务内容是对窃取的数据做深度分析，为联盟成员生成定制化的施压材料，并且已经开始整合大型语言模型，用于快速梳理海量商业文件、生成心理施压话术、提取法律合规漏洞。就是前文聊天室里被成员反复推销的那项服务。
把这几件事连起来看：招人给八成、注册零门槛、样本表单化定制、权限明码标价、工单随提随办、数据用AI分析。攻击的每一个环节都被做成了标准化产品，参与的门槛被一步步拆掉。这是它三年做到634家的根本原因。
四、谈判间里的标准化话术
DragonForce的勒索信不太像恐吓信，更像一封商务函。开头是"Good afternoon"，正文写着"我们与政治无关，我们一向言而有信"，结尾的注意事项里甚至要求受害者"在我们的会议室里保持礼貌"。
Solar威胁情报平台收录的DragonForce勒索信全文，措辞接近商务信函，文末附有Tox联系方式
受害者凭勒索信中的唯一ID进入一个专属谈判页面。页面上有私密会话标识、免费测试解密按钮、一整页常见问题解答（FAQ），底部的倒计时精确到小数点后四位。
受害者谈判页面，左侧为聊天窗口，右侧为FAQ，底部实时显示剩余时间
这份FAQ值得逐条读一遍，它的设计非常懂谈判心理。
先给验证。免费提供1到3个文件的测试解密，同时提供被窃文件的清单，让受害者确认两件事：数据真的在它手里，解密真的可行。
再做切割。反复强调"我们不卖数据，不搞工业间谍"，把自己和倒卖数据的二道贩子区分开，言下之意是只收赎金、讲究规矩。
然后定好支付规则。赎金分两个比特币地址支付，80%进入联盟成员账户，20%是平台佣金。干活的先拿大头，平台和执行者的利益被绑定在一起，谁也别想跑单。
最后留出折扣空间，但划好底线。最高可以给到报价45%的折扣；如果受害者拒不配合，就先挂牌设倒计时，再公开数据，最后把解密器从服务器上删除。对有海外业务的企业，它还会提醒一句：数据一旦公开，GDPR、CCPA这些法规的处罚会接踵而至。
这套话术的实际执行效果，可以参考我们此前复盘的一起案例。本田、日产的一级供应商Unipres Alabama被索要15 BTC赎金，攻击者从报价、测试解密到最终公开数据，每一步都按这套流程走，谈判破裂后数据随即全量上网。
谈判破裂的受害者，会被送进它的第三个站点：数据发布页DragonFiles。页面上整齐排列着一家家企业的名字，每一条后面跟着绿色的"PUBLISHED"标签和数据量，最大的一单超过3TB。
DragonFiles数据发布页面，被公开的企业按行排列，数据量从几十GB到3TB不等
五、把广告打上天的品牌运营
2025年5月上旬，DragonForce在美国佛罗里达州迈阿密租了一架飞机，拖着一条实体横幅飞过城市上空，上面写着："DragonForce IS ALMOST HERE! HAVE YOU BEEN WAITING FOR US?"（我们快到了，你们在等我们吗？）
随后，它把照片配上PGP签名发布在官方博客上，配文"Welcome, Miami!"。
暂时无法在飞书文档外展示此内容
迈阿密上空的飞机横幅，勒索组织第一次把广告做到物理世界
在勒索病毒的历史上，这是第一次有组织把公关做到线下。要理解这个动作，得先想清楚它是做给谁看的。受害者不会因为看到一条横幅就主动交赎金，这条横幅真正的观众，是地下市场里观望的潜在联盟成员。在那个圈子里，声势就是招募能力。它要传递的信息很简单：我们有钱、有胆量、有执行力，来我这里干活。
六、对同行一样下手
DragonForce的攻击对象不只有企业。
2025年3月，它发现同行BlackLock勒索组织的泄露站点因配置错误暴露了真实IP，随即入侵对方服务器，利用本地文件包含（LFI）漏洞拿到凭据，把对方的/etc/passwd文件和内部聊天记录挂在对方自己的站点上，页面标志也换成了自己的龙形标识，还留下一句"Leave him alone, lol :D"。被公开的聊天记录里，甚至有BlackLock的受害者请求减免赎金的完整对话。
BlackLock泄露站点被入侵后的页面，标志被替换为DragonForce，系统文件与聊天记录被公开
2025年4月，它又公开发帖"建议"当时规模更大的RansomHub"加入我们，迁移到我们的基础设施"，双方随即在论坛上公开交恶。RansomHub挂出DragonForce后台泄露、被污损的截图，暗示它内部出了叛徒。DragonForce一边回应"我们没有问题，所有合伙人都支持我"，一边在两天后宣布对新合作伙伴的准入严格限制。嘴上说没有问题，手上收紧了门槛。
同样是在2025年3月，它宣布转型为"勒索软件卡特尔"模式，允许联盟成员使用自己的品牌、共享它的基础设施，本质上是白标服务。之后，地下市场又流传出它与LockBit、Qilin组成三角联盟的消息。
七、写在最后
把DragonForce的整套运作模式拆开看完，有几个判断想和大家交流。
- 第一，勒索攻击的参与门槛正在消失。80%的分成、一小时的注册、表单化的样本定制、明码标价的访问权限，意味着任何手里有一点入口资源的人，都可以随时变成攻击者。企业面对的不再是一个固定的团伙，而是一条不断有人加入的生产线。
- 第二，施压方式正在变得精准。有了数据审计服务和大语言模型，攻击者不再泛泛地威胁"公开数据"，而是能具体说出手里握着你哪份财报、哪个客户的合同、哪封内部邮件。威胁越具体，受害者的心理防线越难守。
- 第三，合规风险已经成为定价依据。它研究受害者的年报和保险，也研究GDPR、CCPA和上市规则。针对上市公司的赎金，算的早已不是数据本身值多少钱，而是披露义务和股价波动值多少钱。
- 第四，对抗已经进入基础设施层面。勒索组织之间互相入侵、互相揭底、互相挖人，说明这个行业的内部竞争也已经产业化。防守方如果还停留在装一套终端软件、做一次合规检查的层面，在组织度上就已经落后了。
前面提到，这个家族目前没有免费的解密器。但没有免费解密器，不等于只能付赎金。
勒索软件加密文件时，必须调用系统底层的加密函数，密钥必须在内存中生成，这是所有勒索软件绕不开的一步。我们的思而听防勒索AI疫苗（SAR）抓住的正是这个瞬间：在密钥生成的同时完成拦截捕获，并自动生成对应的解密器。目前，SAR已支持捕获DragonForce的密钥。
这不是停留在实验室里的结论。2026年6月7日，SAR在一台Windows 10终端上完整捕获了该家族加密器生成的密钥，从加密启动到密钥落盘，全程自动完成。
防勒索AI疫苗（SAR）后台日志，成功捕获DragonForce加密密钥
随后，我们把捕获到的密钥导入Solar勒索解密工具，对4个被加密的文件执行恢复，全部解密成功，无一失败，整个过程不需要支付任何赎金。
截至目前，Solar勒索解密工具已支持69个勒索家族、87种加密后缀、47套成功解密方案。关于SAR"AI阻断、密钥捕获、加密替换、瞬时恢复"的完整技术逻辑。Solar应急响应团队将持续跟踪该家族动态，后续会围绕其加密器逆向、BYOVD驱动利用和定制化后门等方向发布完整的技术分析报告，敬请关注。
关键指标：
- 家族：DragonForce / The DragonForce Ransomware Cartel
- 首次活跃：2023年8月
- 运营模式：勒索软件即服务（RaaS），2024年6月26日起联盟分成80%
- 加密器：LockBit 3.0变种；自研版本（基于Conti V3修改，内置BYOVD恶意驱动）
- 支持平台：Windows / ESXi / NAS / BSD / Linux
- 加密算法：ChaCha20 + RSA，每个文件独立密钥
- 加密后缀：.dragonforce_encrypted（原文件名经base32编码）
- 勒索信文件名：readme.txt
- 受害者规模：截至2026年8月达634家（Solar威胁情报平台）
- 暗网站点：博客 z3wq******id[.]onion；谈判 3pkt******qd[.]onion；数据发布 dragonforxx******qd[.]onion
- 关联团伙：Scattered Spider（初始访问经纪）；宣称与LockBit、Qilin结盟
[复制链接]
发表于 2026-8-14 05:43
分享到朋友圈
哈哈，魔高一尺，道高一丈！思而听防勒索AI疫苗，这是专属于电脑的疫苗
