Fog

报告编号: TIR-2026-0701-020 | 分类等级: TLP:AMBER | 发布日期: 2026年7月1日 | 情报来源: 多源交叉验证（OSINT + Arctic Wolf + Trend Micro + Cyble + Picus Security + Darktrace + BlackFog + SecurityWeek）

一、执行摘要

Fog 是2024年5月首次出现的新型勒索软件即服务（RaaS）组织，以其多阶段感染链、APT 级间谍工具和非典型的政治宣传内容著称。该组织早期主要 targeting 美国高等教育机构，随后快速扩展至金融、制造、科技、医疗等多个关键行业。

截至2025年3月，Fog 在 TOR 泄露站点上已声称超过 100 名受害者，其中仅2025年2月就高达53名受害者。Trend Micro 自2024年6月以来已检测到 173 次与该组织相关的勒索软件活动。该组织最显著的非典型特征是攻击链中嵌入了大量政治内容（DOGE 关联主题），以及部署合法员工监控软件 Syteca 进行屏幕录制和键盘记录。2025年3月后，该组织公开活动趋于沉寂，可能已解散或品牌重塑。

关键发现

威胁等级评估

二、威胁行为者画像

2.1 组织标识

2.2 非典型特征

Fog 最显著的非典型特征是攻击链中嵌入了大量政治内容：

• stage1.ps1 脚本中包含政治评论文字
• 脚本执行时自动打开政治主题 YouTube 视频
• 2025年3-4月 RANSOMNOTE.txt 大量引用美国"政府效率部"（DOGE）内容
• 勒索信要求受害者"列出上周工作完成的五项要点"（模仿 DOGE 邮件）
• 提供"免费解密"选项，条件是受害者将恶意软件传播给他人

三、归因分析

3.1 地理归属

四、技术能力评估

4.1 加密方案

4.2 C2 工具矩阵

五、攻击链分析

5.1 初始访问

5.2 执行与权限提升

5.3 凭证窃取与横向移动

5.4 间谍活动与数据窃取

5.5 防御规避与影响

5.6 攻击特征总结

Fog 的攻击链融合了间谍级监控（Syteca 全程录屏/键击）与政治宣传（DOGE 主题内容）两类非典型要素：前者用于高置信度地挑选"值得勒索"的数据，后者用于舆论施压与品牌塑造。其对高校机构的集中攻击、以及把数据先传 Mega 云再加密的次序，都提供了可检测的行为锚点。

六、防御建议

6.1 检测要点

• Syteca 客户端：合法监控软件出现在非 IT 资产上（服务名 SecurityHealthIron）应视为高危
• 可疑 PowerShell：-WindowStyle Hidden -NoProfile 组合调用 lootsubmit.ps1 / trackerjacker.ps1
• 云同步外传：FreeFileSync/MegaSync 对非授权目录的批量读取与出网

6.2 缓解与响应

• 教育机构重点收紧 VPN/SSO 凭据策略，启用钓鱼-resistant MFA
• 对监控类合法软件建立应用白名单与安装审计
• 卷影副本保护与离线备份双轨，vssadmin 异常调用告警

七、总结

Fog 是"RaaS 剧本 + APT 手法 + 政治包装"的混合体：技术上限高于一般勒索团伙（间谍级监控、APT 工具复用），但运营纪律弱于头部品牌（政治内容、目标选择偏科）。对其最有效的防御不是加密检测，而是在数据被完整窃取前发现异常外传——Syteca 服务安装、lootsubmit 脚本执行与 Mega 云传输构成一条高信噪比的告警链。

（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）

本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。