ALPHV / BlackCat

2021.11    ALPHV/BlackCat 首次出现在俄语黑客论坛
           Rust 编写，首个跨平台 RaaS 勒索软件
           推广期间使用黑猫图标（Tor 支付站点）
           滴血匕首图标（数据泄露站点）
    ↓
2021.11.30 数据泄露站点（DLS）上线
           开始公开羞辱未付款受害者
    ↓
2022年初   FBI 发布首次 FLASH 通报
           确认多行业受害者
    ↓
2023.02.21 Sphynx（2.0 版本）发布
           重写载荷，增强防御规避
           新增 Linux/VMware ESXi 加密能力
           改进附属工具集
    ↓
2023.02    Reddit 数据泄露事件
           声称窃取 80GB 压缩数据，要求 450 万美元
    ↓
2023.09    联合 Scattered Spider 攻击 MGM/Caesars
           Caesars 支付 1,500 万美元赎金
           MGM 拒绝支付，损失约 1 亿美元
    ↓
2023.11    攻击财富500强医疗公司 Henry Schein
    ↓
2023.12    DOJ Operation Takedown
           FBI 查封 BlackCat 基础设施
           组织管理员鼓励附属机构攻击医院作为报复
    ↓
2024.02    Change Healthcare 攻击（附属机构 Notchy）
           影响 1 亿+ 个人，美国最大医疗数据泄露
           UnitedHealth 支付 2,200 万美元赎金
           组织对附属机构实施退出骗局（Exit Scam）
    ↓
2024-2026  附属机构持续活跃
           基础设施快速迁移，新域名不断出现
           美国国务院悬赏 1,000 万美元

┌─────────────────────────────────────────────────────────────┐
│  ALPHV/BlackCat 前身关联链                                   │
│  ─────────────────────────                                  │
│                                                              │
│  GandCrab（2018-2019）                                      │
│      ↓ 执法打击后解散                                        │
│  REvil / Sodinokibi（2019-2021）                            │
│      ↓ 2021年执法打击后核心成员分散                          │
│  DarkSide / BlackMatter（2020-2021）                        │
│      ↓ Colonial Pipeline 事件后解散                          │
│  ─────────────────────────────────                          │
│      ↓ 人员/工具/战术重叠                                    │
│  ALPHV/BlackCat（2021.11 – 至今）                           │
│      ├── 首个 Rust 编写的 RaaS 勒索软件                      │
│      ├── 继承 DarkSide/REvil 运营经验                        │
│      └── 80-90% 高分成吸引大量附属                           │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  1. 加载 JSON 配置（加密模式、扩展名、排除项等）              │
│  2. 验证 Access Token（反分析机制，无 Token 不执行）          │
│  3. 终止目标进程（安全软件、备份、数据库、Exchange 等）        │
│  4. 清除回收站、删除卷影副本                                 │
│  5. 检测 AES 硬件加速，选择加密算法                          │
│  6. 生成对称密钥加密文件内容                                 │
│  7. 使用 RSA 公钥加密对称密钥                                │
│  8. 重命名文件（添加随机扩展名）                             │
│  9. 投放勒索信 RECOVER-[ext]-FILES.txt                      │
│  10. 扫描内网其他设备，使用域凭据横向传播                     │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 A（最常见）: 社工窃取凭证                          │
│  ──────────────────────────────                              │
│  1. OSINT 情报收集（LinkedIn、公司网站）                     │
│  2. 冒充公司 IT/Helpdesk 人员                                │
│  3. 电话或 SMS 联系员工                                      │
│  4. 制造紧急技术支持场景                                     │
│  5. 诱骗员工提供网络凭证                                     │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 B: 漏洞利用                                        │
│  ──────────────────                                          │
│  1. Microsoft Exchange Server（CVE-2021-31207）              │
│  2. Microsoft Exchange（CVE-2021-34473）                     │
│  3. Microsoft Exchange（CVE-2021-34523）                     │
│  4. 其他面向公众的应用漏洞                                   │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 C: 钓鱼与恶意广告                                  │
│  ──────────────────────────                                  │
│  1. 钓鱼邮件/SMS 携带恶意链接                                │
│  2. Google 广告投毒（伪装合法软件下载）                      │
│  3. 恶意文档执行                                             │
└─────────────────────────────────────────────────────────────┘

内网侦察
├── 系统信息发现
├── 进程发现
├── 网络共享发现（net use）
├── RDP/SMB 设备扫描
├── 域账户枚举
└── 服务发现

权限提升
├── 创建 "aadmin" 用户账户
├── Kerberos 令牌生成获取域访问
├── UAC 绕过（cmstplua COM 接口）
├── Mimikatz 凭证窃取
├── Evilginx2 绕过 MFA
└── 向现有账户添加 MFA Token（持久化）

防御规避
├── 部署 AnyDesk/Splashtop/MegaSync（合法远程工具）
├── 使用 Ngrok/Plink 隧道（伪装合法流量）
├── Brute Ratel C4 / Cobalt Strike（C2）
├── POORTRY / STONESTOP（终止安全进程）
├── 清除 Windows 事件日志
├── 清除 Exchange 服务器日志
├── Metasploit 白名单（伪装合法应用）
└── 删除卷影副本（vssadmin / fsutil）

数据窃取
├── 识别高价值数据（PII、医疗记录、财务数据）
├── 使用 Mega.nz / Dropbox 外传
├── 压缩后外传
└── 部分附属仅窃取数据不加密（纯勒索模式）

加密部署
├── 横向移动：RDP、SMB（PsExec）、域凭据
├── 配置域凭据自动传播
├── PSExec 提取至 %Temp% 目录
├── 远程复制载荷至网络设备
└── 验证 Access Token 后执行加密

加密执行
├── 终止目标进程（Veeam、备份、Exchange、Steam 等）
├── 清除回收站
├── 删除卷影副本
├── 擦除 ESXi 快照
├── 加密文件（AES/ChaCha20 + RSA）
├── 重命名文件（随机扩展名）
├── 投放勒索信（RECOVER-[ext]-FILES.txt）
├── 更改桌面壁纸
└── 通过 Tor/Tox/邮件联系受害者

勒索谈判
├── 受害者专属 Tor 站点
├── 展示已窃取数据样本
├── 倒计时折扣机制
├── 三重勒索施压（加密 + 泄露 + DDoS）
└── 加密货币支付（BTC/XMR）

医疗健康        ████████████████████████████████████████ 最高优先级（2023.12后重点目标）
金融服务        ████████████████████████████████           高优先级
制造业          ██████████████████████████████             高优先级
教育            ████████████████████████████               高优先级
能源            ██████████████████████████                 高优先级
专业服务        ██████████████████████                     中优先级
科技            ████████████████████                       中优先级
零售            █████████████████                          中优先级
建筑            ██████████████                             中优先级
政府            ██████████████████████████                 高优先级

┌─────────────────────────────────────────────────────────────┐
│  Change Healthcare 攻击事件（2024年2月）                      │
│  ──────────────────────────────────────                      │
│                                                              │
│  攻击者: 附属机构 "Notchy"                                   │
│  受害者: Change Healthcare（UnitedHealth Group 子公司）       │
│  入口:  被盗凭证（可能通过社工获取）                          │
│                                                              │
│  影响:                                                       │
│  ├── 1 亿+ 个人信息泄露（美国最大医疗数据泄露）              │
│  ├── 泄露数据包括：保险会员ID、诊断、治疗信息、SSN           │
│  ├── 美国医疗支付系统大面积中断                              │
│  └── UnitedHealth 支付 2,200 万美元赎金（BTC）              │
│                                                              │
│  后续:                                                       │
│  ├── ALPHV 对 Notchy 实施退出骗局（Exit Scam）              │
│  │   └── 据报截留部分赎金                                    │
│  ├── 引发 RaaS 生态信任危机                                  │
│  └── 加速执法部门对 ALPHV 的打击力度                         │
└─────────────────────────────────────────────────────────────┘

高概率受害特征:
├── 身份认证薄弱（无 MFA 或 MFA 可被绕过）
├── 网络分段不足
├── 特权活动监控不到位
├── 面向公众的 Exchange/VPN 服务未修补
├── 员工缺乏社工防御培训
├── 医疗、金融、制造、教育等行业
├── 北美、欧洲、亚太地区企业
└── 大型组织（高赎金支付能力）

┌─────────────────────────────────────────────────────────────┐
│  三重勒索（Triple Extortion）                                │
│  ────────────────────────────                                │
│  第一层：解密被加密文件（收取解密赎金）                      │
│  第二层：不公开泄露的敏感数据（收取保密赎金）                │
│  第三层：不发动 DDoS 攻击（收取保护赎金）                    │
│                                                              │
│  附加策略：                                                  │
│  ├── 公开互联网泄露网站（最大化舆论压力）                    │
│  ├── 倒计时折扣机制（制造紧迫感）                            │
│  ├── 纯窃取不加密模式（Reddit 案例）                        │
│  └── 退出骗局（截留附属赎金）                                │
└─────────────────────────────────────────────────────────────┘

基础设施策略:
├── Tor + 公开互联网双泄露站点
├── 每个受害者独立 Tor 谈判站点
├── 频繁更换 C2 域名和基础设施
├── 合法隧道服务滥用（Ngrok）
├── 商业 C2 框架（Brute Ratel C4、Cobalt Strike）
├── 合法远程工具滥用（AnyDesk、Splashtop）
└── Operation Takedown 后快速重建

title: ALPHV BlackCat - Shadow Copy and Backup Deletion
id: a1b2c3d4-e5f6-7890-abcd-ef1234567890
status: experimental
description: 检测 ALPHV BlackCat 勒索软件删除影子副本和备份的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'vssadmin'
      - 'delete'
      - 'shadows'
  condition: selection
level: critical
tags:
  - attack.defense_evasion
  - attack.t1490

title: ALPHV BlackCat - Suspicious Account Creation (aadmin)
id: b2c3d4e5-f6a7-8901-bcde-f12345678901
status: experimental
description: 检测 ALPHV BlackCat 典型的 aadmin 账户创建行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains:
      - 'net user aadmin'
      - 'New-LocalUser aadmin'
  condition: selection
level: critical
tags:
  - attack.persistence
  - attack.t1136

title: ALPHV BlackCat - Legitimate Remote Tool Abuse
id: c3d4e5f6-a7b8-9012-cdef-123456789012
status: experimental
description: 检测 ALPHV BlackCat 滥用合法远程工具的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith:
      - '\AnyDesk.exe'
      - '\Splashtop*'
      - '\ngrok.exe'
    ParentImage|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
  condition: selection
level: high
tags:
  - attack.command_and_control
  - attack.t1219

rule ALPHV_BlackCat_Ransomware {
    meta:
        description = "检测 ALPHV/BlackCat 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-06-24"
        reference = "CISA AA23-353A / SHA256: 847fb7609f53ed334d5affbb07256c21cb5e6f68b1cc14004f5502d714d2a456"
    strings:
        $s1 = "RECOVER-" ascii
        $s2 = "-FILES.txt" ascii
        $s3 = "vssadmin delete shadows" ascii
        $s4 = "fsutil behavior" ascii
        $s5 = "aadmin" ascii
        $rust1 = ".rustc" ascii
        $rust2 = "rust_begin_unwind" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 }
    condition:
        3 of ($s*) and ($rust1 or $rust2) and $hex1
}

# 1. 检查异常账户（aadmin）
Get-LocalUser | Where-Object {$_.Name -eq 'aadmin'}

# 2. 检查最近创建的账户
Get-LocalUser | Sort-Object WhenCreated -Descending | Select-Object -First 10

# 3. 检查 MFA Token 异常添加
Get-MsolUser -All | Where-Object {$_.StrongAuthenticationMethods.Count -gt 1}

# 1. 隔离受感染主机
netsh advfirewall firewall set rule group="remote desktop" new enable=no
netsh advfirewall firewall set rule group="file and printer sharing" new enable=no

# 2. 检查异常进程（Rust 特征）
Get-Process | Where-Object {$_.CompanyName -eq ""} | Select-Object Name, Id, Path

# 3. 检查卷影副本状态
vssadmin list shadows

# 4. 检查异常远程工具连接
Get-Process | Where-Object {$_.Name -match "AnyDesk|Splashtop|ngrok"}

# 5. 检查异常网络连接
netstat -ano | findstr "ESTABLISHED"

# 6. 检查勒索信文件
Get-ChildItem -Recurse -Filter "RECOVER-*-FILES.txt" -ErrorAction SilentlyContinue

# 7. 检查 ESXi 快照状态（虚拟化环境）
# vim-cmd vmsvc/snapshot.getallvms