ARTICLE / 安全
Cactus
报告编号: TIR-2026-0624-013 | 分类等级: TLP:AMBER | 发布日期: 2026年6月24日 | 情报来源: 多源交叉验证（OSINT + CISA/FBI + MITRE ATT&CK + Trend Micro + Bitdefender + Kroll + Arctic Wolf + Darktrace + Barracuda + Huntress + SentinelOne）
一、执行摘要
Cactus 是2023年3月崛起的勒索软件即服务（RaaS）组织，以其独特的自加密二进制文件技术和极快的漏洞武器化速度（PoC 公开后24小时内即可发起攻击）著称。截至2025年初，该组织已在暗网泄露站点上公布了超过 248 个受害者，实际数量可能远高于此。攻击主要集中在美国（102个受害者）、加拿大、英国、法国等北美和欧洲地区。
Cactus 的核心技术特征在于使用 AES 密钥加密自身可执行文件，密钥存储在 C:\ProgramData\ntuser.dat 中，需通过计划任务读取并解密后才能执行，有效规避了传统杀毒软件的静态检测。2025年初，Trend Micro 确认 Black Basta 关键成员已转移至 Cactus 继续运营，两个组织共享 BackConnect 恶意软件、社会工程战术和 TotalExec 自动化部署脚本。
关键发现
| 维度 | 关键指标 |
|---|---|
| 组织规模 | 248+ 受害者（泄露站公布），实际数量更多 |
| 首要目标 | 美国（102个），加拿大（16），英国（14），法国（9） |
| 加密方式 | AES + RSA 混合加密；自加密二进制逃避检测 |
| 首要入口 | VPN 漏洞利用（Fortinet/Qlik Sense）、社会工程、恶意广告、凭证购买 |
| 商业模式 | RaaS（核心团队 + 附属机构） |
| 关联组织 | GOLD VILLAGE、TA2101、Storm-0216、DEV-0216、UNC2198、TWISTED SPIDER |
| Black Basta 关联 | 2025年初 Black Basta 成员转移至 Cactus，共享基础设施和工具链 |
| 解密可能性 | 不存在（无公开解密工具） |
| 当前状态 | 活跃（2025-2026年持续攻击） |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|---|---|
| 技术能力 | 🔴 极高 | 自加密二进制、24小时漏洞武器化、ESXi+Hyper-V 双平台攻击 |
| 运营成熟度 | 🔴 高 | RaaS 模式、Cactus Chat 谈判平台、TotalExec 自动化部署 |
| 攻击规模 | 🟠 高 | 248+ 受害者，制造业/商业服务/科技为主 |
| 目标针对性 | 🟠 高 | 中大型企业为主，支付能力强 |
| 数据泄露风险 | 🔴 极高 | 双重勒索 + TOR/clearnet 双泄露站 |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|---|
| 官方名称 | Cactus |
| 别名 | GOLD VILLAGE（Secureworks）、TA2101（Microsoft）、Storm-0216/DEV-0216（Microsoft）、UNC2198（Secureworks）、TWISTED SPIDER |
| 组织类型 | RaaS（核心团队 + 附属机构） |
| 活跃周期 | 2023年3月 – 至今 |
| 主要语言 | 英语（勒索信/谈判） |
| 地理归属 | 未确认（可能与马来西亚黑客活动组织有关联，未证实） |
| 攻击目标 | 全球（美国为主要目标） |
| 动机 | 经济利益 |
2.2 组织演化时间线
三、归因分析
3.1 地理归属
| 证据类型 | 详情 | 置信度 |
|---|---|---|
| 语言分析 | 勒索信和谈判使用英语 | 中 |
| 马来西亚关联 | 部分研究人员推测与同名马来西亚黑客组织有关 | 低（未证实） |
| 基础设施 | C2 服务器分布于多个欧洲国家 | 中 |
| Black Basta 融合 | 2025年 Black Basta（俄语地区）成员转入 | 中-高 |
3.2 关联组织网络
3.3 关键人物
| 人物 | 角色 | 状态/说明 |
|---|---|---|
| 未命名核心运营者 | 平台管理与加密器开发 | 身份未公开，经 RAMP/Tox 指挥附属 |
| Black Basta 流离成员 | 2025 年转入的成熟攻击团队 | 沿用 BackConnect、TotalExec 工具链 |
| Storm-0216 / DEV-0216 | 恶意广告与后门分发 | Microsoft 追踪，对应 Cactus 入口活动 |
| UNC2198（TWISTED SPIDER） | 社会工程与初始访问 | Mandiant 追踪，与附属网络重叠 |
3.4 归属置信度评估
| 证据维度 | 指向 | 置信度 |
|---|---|---|
| 附属招募平台（RAMP） | 俄语网络犯罪生态 | 高 |
| 泄露站托管与支付链分析 | 俄语区运营者 | 中 |
| CIS 豁免策略 | 独联体地理规避 | 中 |
| Black Basta 人员流入 | 东欧犯罪网络整合 | 中-高 |
综合评估：Cactus 大概率由俄语区运营者控制，2025 年后借助 Black Basta 瓦解后的人员流动显著提升了攻击执行能力。
四、防御建议
4.1 检测要点
- 计划任务异常：关注读取
C:\\ProgramData\\ntuser.dat并解密自身载荷的定时任务 - C2 行为：BackConnect 类长连接，以及 powershell/rundll32 的异常父子进程链
- 加密特征：海量文件被重命名为随机 10 位扩展名（如
.CCBDFHCHFD形态） - 武器化窗口：PoC 公开后 24-72 小时内，对暴露的 VPN、ESXi、邮件网关实施临时封禁或强制补丁
4.2 缓解与响应
- 备份实施离线/不可变存储，并定期验证可恢复性
- 最小化互联网暴露面，优先修补 CISA KEV 目录中的高危漏洞
- 制定勒索事件应急预案：证据留存、恢复优先级、谈判取证与执法通报流程
五、总结
Cactus 以"自加密二进制 + 极速漏洞武器化"形成差异化竞争力，并在 Black Basta 瓦解后吸纳成熟附属，威胁面持续扩大。防守方的重心应从单一 IOC 匹配转向暴露面收敛速度与计划任务/自解密行为链监控——在其 24 小时武器化窗口完成关键资产加固，是唯一现实的时间优势。
（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。