DragonForce

2023.08    DragonForce 勒索活动首次被发现
           使用泄露的 LockBit 3.0 builder
    ↓
2023.12    BreachForums 发布数据泄露站点（DLS）
    ↓
2024.06    RAMP 论坛招募附属，80% 赎金分成
    ↓
2024.07    发布基于 Conti V3 的自研变体
    ↓
2025.01    转型为"卡特尔"，允许附属创建自有品牌
    ↓
2025.03    入侵 BlackLock（Mamona）DLS
    ↓
2025.04-06 联合 Scattered Spider 攻击英国零售（Harrods/M&S/Co-op）
    ↓
2025.08    推出"数据分析服务"（目标年收入 ≥ $1500万）
    ↓
2025.12    Backdoor.Turn 首次出现（Teams TURN 中继 C2）
    ↓
2026.04    声称吞并 RansomHub 基础设施

┌──────────────────────────────────────────────────────┐
│           DragonForce 关联组织网络                     │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────────┐                                  │
│  │ DragonForce 核心 │ 卡特尔模式 RaaS                  │
│  │（LockBit+Conti） │ 80/20 分成                      │
│  └────────┬────────┘                                  │
│           │                                            │
│           ├──→ Scattered Spider（初始访问合作）        │
│           │    英国零售攻击中充当 IAB                   │
│           │                                            │
│           ├──→ BlackLock / Mamona（被吞并）            │
│           │    2025.03 入侵其 DLS                      │
│           │                                            │
│           ├──→ RansomHub（被吞并）                     │
│           │    2026.04 声称吞并基础设施                │
│           │                                            │
│           ├──→ Play（附属重叠）                        │
│           │    同一附属同时为两者工作                   │
│           │                                            │
│           └──→ DevMan（生态衍生）                      │
│                DragonForce 代码衍生变体                │
│                                                        │
└──────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│        Backdoor.Turn — 首个 Teams TURN 中继 C2        │
├──────────────────────────────────────────────────────┤
│                                                        │
│  工作原理：                                            │
│  1. 从 Microsoft Skype 身份服务获取匿名 Teams 访客令牌 │
│  2. 使用合法 Microsoft TURN 中继服务器建立连接         │
│  3. 通过中继辅助建立直达攻击者 C2 的 QUIC 会话        │
│  4. 所有流量仅显示为合法 Microsoft Teams 出站连接      │
│                                                        │
│  功能：                                                │
│  ├── 命令执行与进程创建                                │
│  ├── 网络扫描（TLS 证书/网页标题收集）                 │
│  ├── LDAP/Active Directory 侦察                       │
│  ├── 基于凭据的横向移动                                │
│  └── 浏览器凭据窃取                                    │
│                                                        │
│  部署：注入到合法 DbgView64.exe 进程                   │
│  语言：Go                                              │
│                                                        │
└──────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│           DragonForce 卡特尔架构                       │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌──────────────────┐                                │
│  │ 核心平台           │ 基础设施维护                   │
│  │ 20% 分成           │ 加密工具开发                   │
│  │                    │ PETABYTES 级存储               │
│  └────────┬─────────┘                                │
│           │                                            │
│           ├──→ 附属机构（80% 分成）                    │
│           │    ├── 白标服务（创建独立品牌）            │
│           │    ├── 项目制运营（高度自治）              │
│           │    └── 数据分析服务（$1500万+目标）        │
│           │                                            │
│           └──→ 被吞并组织                              │
│                ├── BlackLock（2025.03）                │
│                └── RansomHub（2026.04）                │
│                                                        │
└──────────────────────────────────────────────────────┘

钓鱼 / 漏洞利用（Log4Shell/Ivanti）/ RDP 凭证填充 / IAB 购买
    ↓
SectopRAT → SystemBC → Betruger（多阶段部署）
    ↓
DLL 侧加载（VirtualBox/DbgView64 → vboxrt.dll）
    ↓
四种凭证窃取（SectopRAT/Veeam/DCSync/LSASS）
    ↓
RDP / Impacket wmiexec / SystemBC 隧道 / SMB / Cobalt Strike（横向移动）
    ↓
SSH / FTP / Backdoor.Turn（数据外传至俄罗斯）
    ↓
BYOVD（多驱动终止安全进程）
    ↓
DragonForce 载荷（ChaCha8+AES 加密 + 多平台）

title: DragonForce - BYOVD Vulnerable Driver Loading
id: df001-byovd-driver-load
status: experimental
description: 检测 DragonForce 使用 BYOVD 技术加载已知脆弱驱动
logsource:
  category: driver_load
  product: windows
detection:
  selection:
    ImageLoaded|endswith:
      - '\HWAuidoOs2Ec.sys'
      - '\wsftprm.sys'
      - '\Gamedriverx64.sys'
      - '\K7RKScan.sys'
      - '\truesight.sys'
      - '\rentdrv2.sys'
  condition: selection
level: critical
tags:
  - attack.defense_evasion
  - attack.t1068

title: DragonForce - DLL Sideloading via DbgView64
id: df002-dll-sideloading
status: experimental
description: 检测通过 DbgView64.exe 侧加载恶意 DLL 的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\DbgView64.exe'
    Image|endswith:
      - '\rundll32.exe'
      - '\regsvr32.exe'
  condition: selection
level: critical
tags:
  - attack.privilege_escalation
  - attack.t1574.002

title: DragonForce - Abnormal Microsoft Teams TURN Relay
id: df003-teams-turn-relay
status: experimental
description: 检测异常的 Microsoft Teams TURN 中继连接（可能的 Backdoor.Turn）
logsource:
  category: network_connection
  product: windows
detection:
  selection:
    Image|endswith: '\DbgView64.exe'
    DestinationPort: 443
    Protocol: 'quic'
  condition: selection
level: high
tags:
  - attack.command_and_control
  - attack.t1071

rule DragonForce_Ransomware {
    meta:
        description = "检测 DragonForce 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-07-01"
        reference = "Water Tambanakua / Hackledorb"
    strings:
        $s1 = ".RNP" ascii
        $s2 = ".df_win" ascii
        $s3 = ".dragonforce_encrypted" ascii
        $s4 = "readme.txt" ascii
        $s5 = "DragonForce" ascii
        $s6 = "vssadmin delete shadows" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}