Cactus

2023.03    Cactus 勒索软件首次被发现
           以 cAcTuS.readme.txt 勒索信命名
           .cts / .cactus 扩展名
    ↓
2023.Q3    泄露站公布首批受害者
           利用 Fortinet VPN 漏洞获取初始访问
    ↓
2023.10    利用 CVE-2023-41266/41265（Qlik Sense）
           大规模攻击活动展开
    ↓
2024.01    攻击施耐德电气可持续发展业务部门
           声称窃取 1.5TB 数据
    ↓
2024.02    Bitdefender 披露协调式双目标攻击
           24小时内利用新披露漏洞
    ↓
2024.Q3    利用 CVE-2023-48365（Qlik Sense 补丁绕过）
           扩展攻击规模
    ↓
2025.02    Black Basta 内部聊天记录泄露
           组织结构和内部分裂暴露
    ↓
2025.Q1    Trend Micro 确认 Black Basta 成员转移至 Cactus
           共享 BackConnect、TotalExec、DLL 侧加载技术
    ↓
2025-2026  持续活跃，248+ 受害者
           金融行业重点目标

┌──────────────────────────────────────────────────────┐
│           Cactus 关联组织网络                          │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────────┐                                  │
│  │ Cactus 核心      │ GOLD VILLAGE / TA2101           │
│  │（RaaS 提供者）    │                                 │
│  └────────┬────────┘                                  │
│           │                                            │
│           ├──→ Black Basta 流离成员（2025年转入）      │
│           │    共享 BackConnect C2                     │
│           │    共享 TotalExec 自动化脚本               │
│           │    共享 DLL 侧加载技术                     │
│           │                                            │
│           ├──→ Storm-0216 / DEV-0216（Microsoft 追踪） │
│           │    恶意广告 + 后门木马入口                  │
│           │                                            │
│           └──→ UNC2198 / TWISTED SPIDER               │
│                社会工程战术                             │
│                                                        │
└──────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│           Cactus 自加密二进制机制                      │
├──────────────────────────────────────────────────────┤
│                                                        │
│  传统勒索软件：                                        │
│  [可执行文件] → 杀毒软件静态扫描 → 检测/拦截          │
│                                                        │
│  Cactus 自加密：                                       │
│  [加密的可执行文件] → 杀毒软件扫描 → 无法识别          │
│         ↓                                              │
│  计划任务读取 ntuser.dat 中的 AES 密钥                 │
│         ↓                                              │
│  内存中解密 → 执行 → 加密文件                          │
│                                                        │
│  技术细节：                                            │
│  ├── AES 密钥存储在 C:\ProgramData\ntuser.dat         │
│  ├── 通过计划任务触发解密和执行                        │
│  ├── UPX 加壳进一步混淆                                │
│  └── 即使加密失败也通过邮件发送勒索信                  │
│                                                        │
└──────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────┐
│         Cactus 双重勒索模型                       │
├─────────────────────────────────────────────────┤
│                                                   │
│  第一阶段：数据窃取                               │
│  ├── Rclone 外传至云存储                          │
│  ├── WinSCP 外传至外部基础设施                    │
│  └── MegaSync 数据外传                            │
│                                                   │
│  第二阶段：文件加密                               │
│  ├── AES + RSA 混合加密                           │
│  ├── 自加密二进制逃避检测                         │
│  ├── 删除卷影副本（WMIC）                         │
│  └── 投放勒索信（cAcTuS.readme.txt）              │
│                                                   │
│  第三阶段：勒索谈判                               │
│  ├── Cactus Chat 谈判平台                         │
│  ├── TOR 泄露站公开施压                           │
│  └── 加密货币支付                                 │
│                                                   │
│  第四阶段：数据泄露（如未支付）                    │
│  └── 数据发布至泄露站                             │
│                                                   │
└─────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│              Cactus RaaS 架构                         │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌──────────────────┐                                │
│  │ 核心开发团队       │ 编写/维护勒索软件              │
│  │（GOLD VILLAGE）    │ 管理泄露站和谈判平台           │
│  └────────┬─────────┘                                │
│           │                                            │
│           ├──→ 附属机构                                │
│           │    ├── Black Basta 流离成员（2025年转入）  │
│           │    └── 独立附属（暗网招募）                │
│           │                                            │
│           ├──→ Storm-0216（恶意广告入口）              │
│           │                                            │
│           └──→ 共享工具链                              │
│                ├── BackConnect C2                      │
│                ├── TotalExec 自动化脚本                │
│                └── DLL 侧加载技术                      │
│                                                        │
└──────────────────────────────────────────────────────┘

受害者支付 → 加密货币钱包 → 多层混币/跨链转换 → 场外交易（OTC） → 法币提取

VPN 漏洞利用 / 社会工程 / 恶意广告 / 凭证购买
    ↓
BackConnect C2（持久化）
    ↓
DLL 侧加载（OneDriveStandaloneUpdater.exe → winhttp.dll）
    ↓
SSH 后门 / Chisel 隧道（隐蔽通道）
    ↓
LSASS 转储 / 浏览器凭证窃取（凭证访问）
    ↓
SoftPerfect / PSnmap（网络发现）
    ↓
RDP / SMB / WinRM（横向移动）
    ↓
Rclone + WinSCP + MegaSync（数据外传）
    ↓
TotalExec 自动化部署 → Cactus 载荷（自加密二进制 + AES+RSA 加密）

title: Cactus Ransomware - Self-Encrypting Binary Behavior
id: d1e2f3a4-b5c6-7890-abcd-123456789abc
status: experimental
description: 检测 Cactus 勒索软件自加密二进制的典型行为模式
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\cmd.exe'
    CommandLine|contains: 'ntuser.dat'
    Image|endswith: '\rundll32.exe'
  condition: selection
level: critical
tags:
  - attack.defense_evasion
  - attack.t1027

title: Cactus Ransomware - DLL Sideloading via OneDrive
id: e2f3a4b5-c6d7-8901-bcde-234567890bcd
status: experimental
description: 检测通过 OneDriveStandaloneUpdater.exe 侧加载恶意 DLL 的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\OneDriveStandaloneUpdater.exe'
    Image|endswith: '\rundll32.exe'
  condition: selection
level: critical
tags:
  - attack.privilege_escalation
  - attack.t1574.001

title: Cactus Ransomware - Volume Shadow Copy Deletion
id: f3a4b5c6-d7e8-9012-cdef-345678901cde
status: experimental
description: 检测 Cactus 勒索软件删除卷影副本的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'wmic'
      - 'shadowcopy'
      - 'delete'
  condition: selection
level: high
tags:
  - attack.defense_evasion
  - attack.t1490

rule Cactus_Ransomware {
    meta:
        description = "检测 Cactus 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-06-24"
        reference = "GOLD VILLAGE / TA2101"
    strings:
        $s1 = "cAcTuS.readme.txt" ascii
        $s2 = ".cts" ascii
        $s3 = ".cactus" ascii
        $s4 = "ntuser.dat" ascii
        $s5 = "TitanPlus" ascii
        $s6 = "TotalExec" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}