ARTICLE / 安全

DragonForce

Updated
Reading time
5 min

报告编号: TIR-2026-0701-015 | 分类等级: TLP:AMBER | 发布日期: 2026年7月1日 | 情报来源: 多源交叉验证（OSINT + Trend Micro + Symantec/Broadcom + Group-IB + SentinelOne + Darktrace + Cybereason + S2W TALON + The DFIR Report + Halcyon Q2-2025）

一、执行摘要

DragonForce（Trend Micro 追踪代号：Water Tambanakua，Symantec 追踪代号：Hackledorb）是2023年8月崛起的高危勒索软件即服务（RaaS）组织，已从最初的 LockBit 3.0 克隆体演化为基于 Conti V3 代码库的高度定制化勒索平台。2025年正式转型为勒索软件**“卡特尔”（Cartel）**，允许附属机构创建自有品牌，成为当前全球最具技术能力的勒索组织之一。

截至2026年6月，DragonForce 已累计确认 579 个受害者，攻击覆盖制造业、零售、医疗、建筑、IT 等关键行业。该组织最显著的技术创新是首个滥用 Microsoft Teams TURN 中继基础设施进行 C2 通信的恶意软件（Backdoor.Turn），以及大规模使用 **BYOVD（自带脆弱驱动）**技术获取内核级权限终止安全进程。2025年4-6月，联合 Scattered Spider 对英国多家知名零售商（哈罗德百货、玛莎百货、合作社）发动高调攻击。

关键发现

维度关键指标
组织规模579+ 受害者
首要目标美国、英国、德国、澳大利亚、意大利
加密方式ChaCha8 + AES 混合加密；多平台（Win/Linux/ESXi/BSD/NAS）
代码基础LockBit 3.0（早期）→ Conti V3（当前主要变体）
商业模式卡特尔模式（80/20分成，白标服务，数据分析服务）
关联组织Scattered Spider、BlackLock、RansomHub、Play、LockBit
技术创新Backdoor.Turn（首个 Teams TURN 中继 C2）、BYOVD 多驱动利用
解密可能性不存在（无公开解密工具）
当前状态活跃（2026年持续攻击，Frontrunner Q2-2025）

威胁等级评估

评估维度等级说明
技术能力🔴 极高双代码库、BYOVD 多驱动、Backdoor.Turn、多平台加密
运营成熟度🔴 极高卡特尔模式、白标服务、数据分析服务、PETABYTES 级存储
攻击规模🔴 极高579+ 受害者，英国零售高调攻击
目标针对性🔴 极高年收入 ≥ $1500万组织为主要目标
数据泄露风险🔴 极高双重勒索 + SSH/FTP 外传至俄罗斯基础设施

二、威胁行为者画像

2.1 组织标识

属性值
官方名称DragonForce
别名Water Tambanakua（Trend Micro）、Hackledorb（Symantec）
组织类型卡特尔模式 RaaS
活跃周期2023年8月 – 至今
主要语言英语（勒索信/谈判）、俄语（内部通信）
地理归属俄语地区（高置信度）；数据外传至俄罗斯基础设施
攻击目标全球（美/英/德/澳/意为主）
动机经济利益

2.2 组织演化时间线

2023.08    DragonForce 勒索活动首次被发现
           使用泄露的 LockBit 3.0 builder
    ↓
2023.12    BreachForums 发布数据泄露站点（DLS）
    ↓
2024.06    RAMP 论坛招募附属，80% 赎金分成
    ↓
2024.07    发布基于 Conti V3 的自研变体
    ↓
2025.01    转型为"卡特尔"，允许附属创建自有品牌
    ↓
2025.03    入侵 BlackLock（Mamona）DLS
    ↓
2025.04-06 联合 Scattered Spider 攻击英国零售（Harrods/M&S/Co-op）
    ↓
2025.08    推出"数据分析服务"（目标年收入 ≥ $1500万）
    ↓
2025.12    Backdoor.Turn 首次出现（Teams TURN 中继 C2）
    ↓
2026.04    声称吞并 RansomHub 基础设施

三、归因分析

3.1 地理归属

证据类型详情置信度
数据外传SSH 传输至俄罗斯境内恶意托管基础设施高
论坛活动RAMP 论坛招募，俄语暗网生态高
C2 基础设施俄罗斯 ASN 关联 IP中-高
起源争议部分报告关联马来西亚黑客活动团体（已否认）低

3.2 关联组织网络

┌──────────────────────────────────────────────────────┐
│           DragonForce 关联组织网络                     │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────────┐                                  │
│  │ DragonForce 核心 │ 卡特尔模式 RaaS                  │
│  │（LockBit+Conti） │ 80/20 分成                      │
│  └────────┬────────┘                                  │
│           │                                            │
│           ├──→ Scattered Spider（初始访问合作）        │
│           │    英国零售攻击中充当 IAB                   │
│           │                                            │
│           ├──→ BlackLock / Mamona（被吞并）            │
│           │    2025.03 入侵其 DLS                      │
│           │                                            │
│           ├──→ RansomHub（被吞并）                     │
│           │    2026.04 声称吞并基础设施                │
│           │                                            │
│           ├──→ Play（附属重叠）                        │
│           │    同一附属同时为两者工作                   │
│           │                                            │
│           └──→ DevMan（生态衍生）                      │
│                DragonForce 代码衍生变体                │
│                                                        │
└──────────────────────────────────────────────────────┘

3.3 归属置信度评估

证据维度指向置信度
LockBit 内部论坛泄露帖成员自述"从 LockBit 出走"高
Conti 面板/代码残留（StealTDS 等）收购 Conti 泄露基础设施高
泄露站运营与俄语沟通俄语区运营者中-高
附属招募渠道（RAMP/Quax 等）俄语论坛生态中

综合评估：DragonForce 为高置信度的俄语区组织，其演化路径（LockBit 克隆 → Conti 代码库 → 卡特尔）在公开泄露数据中有直接佐证。

四、防御建议

4.1 检测要点

  • Rclone/cgsec 类外传：匿名化 FTP/S3 端点的大流量出站
  • VMware ESXi/Xen 攻击：针对虚拟化主机的 mlib 库滥用与沙箱逃逸行为
  • Qakbot/Bruteforce 入口：暴力破解 RDP/VPN 后的可疑计划任务

4.2 缓解与响应

  • 对 ESXi 等虚拟化平台实施管理网络隔离与最小权限，禁用默认凭据
  • 关注 LockBit/Conti 系残留面板被"回收再利用"的迹象，IoC 更新需覆盖其衍生家族
  • 备份不可变 + 离线双轨，演练恢复时间目标（RTO）

五、总结

DragonForce 把"勒索软件品牌战争"打成了兼并与生态整合：吸并 BlackLock、Mamona，宣称吞并 RansomHub，承接 LockBit 与 Conti 两套遗产的工具链与人才。这种卡特尔结构使其在核心平台被打击时仍可由自有品牌附属续命。防御侧应把它当作一个动态演化的家族簇而非单一品牌来跟踪，重点盯虚拟化平台与匿名化外传两个高价值环节。

（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）

本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。