报告编号: TIR-2026-0624-013 | 分类等级: TLP:AMBER | 发布日期: 2026年6月24日 | 情报来源: 多源交叉验证（OSINT + CISA/FBI/HHS 联合公告 AA23-353A + DOJ Operation Takedown + MITRE ATT&CK S1068 + Picus Security + Packet Labs + Kaspersky + Sophos + Microsoft + Trustwave SpiderLabs + 安天CERT）
一、执行摘要
ALPHV/BlackCat（又名 Noberus）是2021年11月首次出现的勒索软件即服务（RaaS）组织，由 MITRE ATT&CK 追踪为 S1068。该组织被认为是 DarkSide、BlackMatter 和 REvil 等已解散勒索组织的核心成员重组产物，是首个使用 Rust 语言开发跨平台加密载荷的勒索软件家族，支持 Windows、Linux 及 VMware ESXi 环境加密。截至2025年底，BlackCat 已攻击全球 1,000+ 组织，FBI 在2023年12月发起 Operation Takedown 打击行动查封其基础设施，但该组织迅速恢复运营，其附属机构于2024年2月制造了美国历史上最大的医疗数据泄露事件——Change Healthcare 攻击（影响1亿+个人，赎金2,200万美元）。美国国务院已悬赏 1,000 万美元 征集该组织领导层信息。
关键发现
| 维度 | 关键指标 |
|---|
| 组织规模 | 1,000+ 攻击（FBI 确认），700+ 泄露网站受害者，全球影响 |
| 加密方案 | AES / ChaCha20 + RSA，Rust 编写，跨平台（Windows/Linux/ESXi） |
| 首要入口 | 社工窃取凭证（冒充 IT/Helpdesk）、钓鱼、漏洞利用（Exchange Server） |
| 商业模式 | RaaS，附属分成 80-90%（高于行业标准 70%） |
| 最大单笔 | 2,200 万美元（Change Healthcare） |
| 勒索策略 | 三重勒索（加密 + 数据泄露 + DDoS 威胁） |
| 执法打击 | 2023.12 DOJ Operation Takedown 查封基础设施；2024年附属机构退出骗局 |
| 解密可能性 | 不存在（无公开解密工具） |
| 悬赏金额 | 美国国务院悬赏 1,000 万美元 |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|
| 技术能力 | 🔴 极高 | Rust 编写、跨平台加密、五种加密模式、Access Token 反分析 |
| 运营成熟度 | 🔴 极高 | 完整 RaaS 平台、泄露网站、谈判门户、附属仪表板 |
| 攻击规模 | 🔴 极高 | 1,000+ 攻击，700+ 泄露受害者，全球多行业覆盖 |
| 目标针对性 | 🔴 高 | 大型组织优先，医疗/金融/制造/能源/教育重点 targeting |
| 数据泄露风险 | 🔴 极高 | 三重勒索 + 公开互联网泄露网站（非传统暗网） |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|
| 官方名称 | ALPHV / BlackCat |
| 别名 | Noberus、ALPHV-ng、S1068（MITRE ATT&CK 软件 ID） |
| MITRE ATT&CK | S1068（BlackCat 软件） |
| 组织类型 | 勒索软件即服务（RaaS） |
| 活跃周期 | 2021年11月 – 至今（含 2023.02 Sphynx 2.0 更新） |
| 主要语言 | 英语（泄露网站/谈判）、俄语（内部沟通，推断） |
| 地理归属 | 俄语地区（高置信度）；与 DarkSide/BlackMatter/REvil 人员重叠 |
| 攻击目标 | 全球企业（北美、欧洲、亚太为重点） |
| 动机 | 经济利益 |
2.2 组织演化时间线
2021.11 ALPHV/BlackCat 首次出现在俄语黑客论坛
Rust 编写，首个跨平台 RaaS 勒索软件
推广期间使用黑猫图标（Tor 支付站点）
滴血匕首图标（数据泄露站点）
↓
2021.11.30 数据泄露站点（DLS）上线
开始公开羞辱未付款受害者
↓
2022年初 FBI 发布首次 FLASH 通报
确认多行业受害者
↓
2023.02.21 Sphynx（2.0 版本）发布
重写载荷，增强防御规避
新增 Linux/VMware ESXi 加密能力
改进附属工具集
↓
2023.02 Reddit 数据泄露事件
声称窃取 80GB 压缩数据，要求 450 万美元
↓
2023.09 联合 Scattered Spider 攻击 MGM/Caesars
Caesars 支付 1,500 万美元赎金
MGM 拒绝支付，损失约 1 亿美元
↓
2023.11 攻击财富500强医疗公司 Henry Schein
↓
2023.12 DOJ Operation Takedown
FBI 查封 BlackCat 基础设施
组织管理员鼓励附属机构攻击医院作为报复
↓
2024.02 Change Healthcare 攻击（附属机构 Notchy）
影响 1 亿+ 个人，美国最大医疗数据泄露
UnitedHealth 支付 2,200 万美元赎金
组织对附属机构实施退出骗局（Exit Scam）
↓
2024-2026 附属机构持续活跃
基础设施快速迁移，新域名不断出现
美国国务院悬赏 1,000 万美元
2.3 核心运营者与关联
| 角色 | 说明 |
|---|
| 核心运营方 | 开发维护 Rust 勒索软件工具包、泄露站点、谈判门户、附属仪表板 |
| 附属机构（Affiliates） | 负责寻找目标、实施入侵、部署勒索；保留 80-90% 赎金 |
| 关联组织 | Scattered Spider（MGM/Caesars 攻击合作）、Notchy（Change Healthcare 攻击） |
| 前身关联 | DarkSide、BlackMatter、REvil、GandCrab（人员/工具/战术重叠） |
| 招募渠道 | 暗网论坛、高利润分成吸引自然流量 |
2.4 附属成员体系
| 指标 | 数据 |
|---|
| 分成比例 | 附属 80-90%，运营方 10-20%（行业标准约 70/30） |
| 支付方式 | 加密货币（BTC、XMR），专属支付门户，倒计时折扣 |
| 谈判渠道 | Tor 专属站点 + Tox + 邮件 + 加密应用 + 受害者专属邮箱 |
| 泄露网站 | Tor DLS + 公开互联网泄露网站（非传统暗网） |
| 禁止目标 | 俄罗斯及独联体国家（地缘政治约束） |
三、归因分析
3.1 归属评估
| 字段 | 信息 | 置信度 |
|---|
| 语言归属 | 英语（泄露网站/谈判）、俄语（内部沟通） | 高 |
| 地理归属 | 俄语地区（东欧基础设施） | 高 |
| 国家级归因 | 无正式国家级归因声明 | - |
| 前身关联 | DarkSide/BlackMatter/REvil 人员重组 | 中-高 |
3.2 前身组织关联
┌─────────────────────────────────────────────────────────────┐
│ ALPHV/BlackCat 前身关联链 │
│ ───────────────────────── │
│ DarkSide（2021.05 消失）──────────┐
│ BlackMatter（2021.10 消失）─────┼──→ ALPHV / BlackCat（2021.11 起）
│ REvil/Sodinokibi（2022.07 消失）┘ Rust 跨平台 · 自研 ETL 面板
│ │
│ 成员与手法在上述团伙间流动，代码与运营被公认继承自 DarkSide 系 │
└─────────────────────────────────────────────────────────────────────┘
3.3 归属评估小结
语言、基础设施与 affiliate 来源共同指向俄语区，但组织自我宣称"不属于任何国家"，亦无执法机构发布正式国家级归因——本报告维持"俄语区犯罪团伙（非国家级）“的定性，归因置信度：中-高。
四、技术能力评估
| 维度 | 评估 |
|---|
| 恶意软件 | Rust 编写，Windows/Linux/ESXi 三平台，参数化加密范围 |
| 加密 | ChaCha20 + RSA-2048 混合，执行速度快 |
| 基础设施 | 自研 ETL 管理面板：泄密站、谈判、affiliate 分成一体化 |
| 勒索模式 | 双重勒索 + “3Xtracat” 三重施压（电话轰炸受害者客户） |
| 初始访问 | 未纳管 VPN/RDP 暴露面、钓鱼、凭证贩购 |
| 综合评级 | 技术 9.0 / 规避 7.5 / 影响 9.0 |
五、2023 退出事件与 2024 复活
2023 年 11 月 24 日，BlackCat 在未通知 affiliate 与受害者的情况下撤下面板、泄密站与谈判通道并卷走托管资金，成为勒索生态史上最大规模"退出收割"事件；其持有数据随后被第三方公开，疑似报复性泄露。2024 年 1 月组织以"BlackCat 2.0”（Noberus）名义回归，宣称重建设施与资金托管；5 月对 Europol 公开网站发起 DDoS 报复。事件的长期影响是信任结构崩塌：affiliate 开始普遍要求资金透明与可验证托管。
六、防御建议
- 未纳管 VPN/RDP 设备资产清点与强制 MFA（其初始访问的第一入口）；
- ESXi/虚拟化平台：管理面网络隔离、离线备份、Guest 调试接口关闭；
- 对 ETL 面板镜像域名变动保持情报订阅，泄露预警前置；
- 预案覆盖"电话轰炸客户"三重施压场景：公关、法务与客户通知模板先行。
七、总结
ALPHV/BlackCat 是勒索生态"公司化运营"的顶点样本：自研面板、三重施压、跨国 affiliate 体系；也是"信任即商业模式"的反面教材——一次卷款让组织信誉一夜清零。防御方研究它的价值不止于 TTP，更在于理解勒索产业的市场结构与脆弱环节：当团伙之间连托管资金都会互骗，上游供应链就是最可打击的软肋。
（数据来源：NCAI/欧洲刑警组织案件简报与 Flashpoint、SentinelOne、Recorded Future 等公开威胁研究报告，整理截至 2026-10。）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。