围绕威胁分析、应急响应手册与研究报告，集中查看当前站点发布的安全内容。
569
资讯总数
32
精选内容
201510
累计阅读
共 569 条
2026 年 4 月至 7 月，Solar 持续跟踪两起针对国内企业的勒索事件。企业甲（智能安防科技企业）4 月被 GSG 与 The Gentlemen 先后公布数据，分别声称 1.5TB/2,172,194 个文件与 4.3TB/2,992,978 个文件，合计 5.8TB，后者索要 400BTC（约 1.29 亿元）；两份目录树文件重合率仅 0.01%，呈现"分区打包"特征，GSG 拍卖流拍后公开下载并于 7 月原样重挂。企业乙（智能清洁机器人企业）6 月被 SpaceBears 与 Karma 同日上架，声称约 2TB，核验实际约 1.6TB、84 万个文件；一个多月后数据出现在清网黑客论坛 Cracked 的卖家 Na4Q 手中，标价 3TB。文章指出勒索已产业化（IAB 供货、LockBit 构建器打底、标准化谈判、暗网与论坛变现），数据口径是营销话术需自行核验，勒索文案已 AI 化，出海企业成为新高价值猎场，付赎金无法阻止数据流转。
7月14日，勒索组织 DragonForce 在其暗网泄露站点数小时内连挂四条公告，目标全部为国内科技与制造企业，涉及数据总量超过 1.4TB：某港股上市汽车电子方案商（540.31GB）、某头部自动驾驶公司（379.18GB，源代码与财务文件全失）、某精密3D测量技术公司（119.49GB，GOM ATOS 3D 扫描仪/工业CT 产品线、ZEISS 授权分销商）、某上海通信设备制造商（392.96GB，VoIP/IP 电话/IP PBX，产品销往80多国）。四家目标恰好串起智能制造产业链上下游，且公告对企业业务、产品线型号、客户关系的描述极为精准，显示其情报收集经过专业训练。文章进一步拆解 DragonForce 组织：2023年8月首次出现的 RaaS，截至2026年6月宣称579名受害者（2026年Q1达101名，环比增29%）；LockBit 3.0 变种与基于 Conti V3 的自研版本双轨并行，后者集成 BYOVD（自带漏洞驱动，如 truesight.sys/rentdrv.sys）从内核层致盲 EDR；2025年3月起转型"勒索软件卡特尔"白标模式（Check Point 认为多为营销包装，主品牌仍是核心）；谈判页面配备完整 FAQ 与 TEST DECRYPTOR，BTC 支付按 80%/20% 在附属成员与平台间分账，最大折扣45%，并以 GDPR/CCPA 合规处罚施压；2025年5月在迈阿密租用飞机拖曳横幅"IS ALMOST HERE!"做线下公关，并公开招募出售初始访问权限的"供应商"；后台具备受害者管理、可配置勒索软件构建器（按年收入动态定价）与"数据审计"增值服务（赎金的0%~23%）。攻击链：边界突破 → SystemBC/Cobalt Strike/Mimikatz 横向移动 → BYOVD 提权致盲 → 借合法工具（加密传输、云同步、WebDAV、SSH 至俄罗斯托管节点）窃取数据 → ChaCha20+RSA 双重加密并按文件类型差异化策略（数据库100%、虚拟机20%、大文件条状50%），文件名追加 .dragonforce_encrypted。文末给出六项防御建议（缩小暴露面、身份与访问管理、网络分段监控、终端防护加固、3-2-1备份、勒索专项预案），思而听防勒索 AI 疫苗（SAR）已支持对该家族底层加密密钥的动态捕获与毫秒级解密，相关 IOC 已同步至 Solar 威胁情报平台。
本文完整复盘一起借助 AI 深度参与的银狐木马逆向分析。攻击入口为仿冒百度网盘登录页的钓鱼站 pan-baidu.com（把 pan.baidu.com 中的"."改为"-"），受害者点击下载后获得约 90MB 的 NSIS 安装包 bai_du_wangpan.exe，利用超大体积绕过云查杀实时扫描。样本落地后 Windows Defender 报 Trojan:Win32/Ravartar!rfn，启动 5 秒即枚举 360tray.exe 与 HipsTray.exe 做杀软侦察，随后在 %AppData%\Roaming\ 下创建 comain_ 前缀随机目录释放双加载器，通过 HKCU\SOFTWARE\MicrosoftUserAdmin\SOURCE=baiduwangpan 注册表标记、桌面/开始菜单 baiduwangpan.lnk 快捷方式、以及篡改 EdgeUpdate 注册表实现持久化。核心加载链为"浩辰CAD签名白文件 + DLL 白加黑"（Get-AuthenticodeSignature 显示 HashMismatch）+ XOR-0x36 内存解密 fhkan.oi 得到 CALL $+5 开头的 shellcode，再 VirtualAlloc(0x10000000, 0x31000) 映射 Horse_in.dll 等 4 个 DLL；4 个 DLL 统一采用 obfusheader.h 编译时混淆（控制流平坦化 + 加密派发表 + junk 指令），静态分析无法还原，经 x32dbg 动态调试 10 步完整验证加载链。C2 为 202.79.169.198:8853（无 DNS，注入正版 UserAccountBroker.exe 回连，约 13 秒心跳，下行固定 831,528 字节）。文末给出主机/网络/检测特征 IOC、YARA 规则示例与完整清除方案。
本文拆解 WannaHammer 3.0（中文俗称"求锤"）勒索软件。该样本通过被盗 QQ 账号以"老同学的照片""刷赞工具""游戏外挂"等话术投递，运行后从桌面目录递归加密文件（小于 50MB、未带 `#WannaHammer#` 后缀），采用硬编码密钥 `DDOS` 的魔改 DES（DES-like）算法加密，并在文件名后追加 `.#WannaHammer#`。恐吓环节极具特色：全屏勒索窗口 + 24 小时倒计时（归零后递归删除桌面全部文件）、修改注册表禁用任务管理器、篡改桌面壁纸、并以内嵌 WAV 资源 `iext2_IDR_WAVE1` 通过 `PlaySoundA`（`0x42007`）循环播放淫秽音频，形成"社死式勒索"，赎金仅 5 元人民币并通过 QQ 转账支付。技术侧给出完整逆向链：窗口初始化、`H/M/S/X.DDOS` 状态文件与倒计时恢复、`HKCU\...\Run\我的启动项` 持久化、`WH_CBT`/`WH_MSGFILTER` 双 Hook 拦截按键、双 9 位随机码 + 固定前缀 `shumu` 的口令校验、ECB-like 分组加密与 4 字节长度头 + 8 字节对齐缓冲结构、密钥派生（`44 44 4F 53 00 00 00 00`）及与标准 DES 的差异（0-based 选位、LSB 优先读位）。由于密钥硬编码、算法可逆、口令可由界面随机码推导，可实现完全离线的无密码批量解密；文末附 MD5/SHA1/SHA256 与持久化、窗口特征等 IOC。
本文复盘一起银狐木马伪装 Telegram 的应急响应案例。2026年1月23日，客户 SOC 监测到终端触发"银狐"外联告警，外联 IP 为 `47.243.84.182:1080`，发起进程竟是系统白进程 `tracerpt.exe`（Windows 事件追踪日志转换工具）。攻击者已提前清除浏览器历史并删除原始安装包，团队改用 X64dbg 内置 Scylla 插件对运行中进程做内存 Dump，还原出被注入的 `tracerpt.exe.dll` 样本并经云沙箱确认银狐特征；随后依托 JumpList（`CustomDestinations`）、Prefetch、SRUM、MFT 等底层痕迹还原投毒路径：用户于1月9日经 Edge 从非官方渠道下载伪装成 Telegram 的安装包 `TelegramInst_setup_x64_250106.exe`（拼写错为 `Teleram`、伪造签名 `NfHRRPGENKQJ`）。样本释放伪装"微软视窗图像升级助手"的 `OTGContainer.exe`，并注册恶意服务 `Zowieg951d475sbs` 实现开机自启；该白程序通过 DLL 劫持加载恶意 `libcurl.dll`，在 DllMain 中读取同目录加密文件 `rbg`、解密出 Shellcode 写入 `FFLOADER.exe`，最终注入系统合规进程 `tracerpt.exe` 形成长达数日的外联潜伏。文中另给出服务清除、文件清理、端口复核三步处置建议及 IOC 指纹。
Weaxor家族（.weax）与Tellyouthepass家族（.sorry）近期在国内中小企业密集作案，Solar应急响应团队多起处置案例对比后发现高度一致的共同点：受害者无一例外部署管家婆系列管理软件（辉煌Ⅱ/TOP+等），且211端口对外开放。本文逆向scktsrvr.exe（Borland Socket Server）还原其MIDAS私有二进制协议，发现InterceptGUID为空导致协议层完全无鉴权；自研TCP中继对真实攻击流量抓取880条消息，纠正关键协议细节——action字节位于签名首字节（04 da握手/03 da查询方法名/02 da方法调用）；最终构造无凭据PoC：经管家婆默认主账套hherpmaster零先验知识连库，OpenSQL+AS_GetRecords拼接xp_cmdshell获取NT AUTHORITY\SYSTEM权限，全程无登录日志、无告警、非Web路径、借用应用自身的sa连接。文中验证同网段多款共用scktsrvr的应用同样受影响（CLSID字典定位管家婆{69C419F0-...}），缓冲区溢出研究确认word_491354大小表越界路径被Delphi异常EVariantError中和、非可利用路径，并按优先级给出5条防御建议。附录含4个相关样本的MD5/SHA256指纹。