Hive

2021.06    Hive 勒索软件首次被发现
           RaaS 模式运营，招募附属机构
           目标：医疗卫生、政府、教育
    ↓
2021.08    Memorial Health System（美国俄亥俄州）遭攻击
           医院被迫拒绝新患者，全面转为纸质记录
    ↓
2022.04    大规模利用 ProxyShell 漏洞攻击 Microsoft Exchange
           CVE-2021-31207/34473/34523
    ↓
2022.05    HHS 向医疗机构发出 Hive 警告
           称其"异常激进"
    ↓
2022.06    Microsoft MSTIC 发现 Hive Rust 变体
           完成 Go→Rust 代码迁移
           新加密方案：ECDH Curve25519 + XChaCha20-Poly1305
    ↓
2022.07    FBI 坦帕外勤站开始秘密渗透 Hive 网络
           特工以附属机构身份潜入，维持7个月
    ↓
2022.11    CISA/FBI/HHS 发布联合公告 AA22-321A
           确认 1,300+ 受害者，1 亿美元赎金
    ↓
2023.01.26 司法部长 Merrick Garland 宣布瓦解 Hive
           13 国执法机构联合行动
           缴获服务器，获取 300+ 解密密钥
           阻止 1.3 亿美元额外赎金
    ↓
2023.05    美国起诉 Mikhail Matveev（Wazawaka）
           Hive/LockBit/Conti 关联人物
           $10M 悬赏
    ↓
2023.11.21 Europol 协调，乌克兰警方逮捕5人
           包括疑似组织领导者（32岁）
           搜查30处地点
    ↓
2023.12    法国巴黎逮捕 Hive "银行家"
           俄罗斯国籍，~40岁，居住塞浦路斯
           查获 €570,000+ 加密货币
    ↓
2024.11    Mikhail Matveev 在俄罗斯被捕
           被指控开发恶意加密程序
           关联 Hive、LockBit、Conti、Babuk、Trigona

1. 生成 victim_private_key（Curve25519 私有密钥）
2. 通过 ECDH 生成 victim_public_key（basepoint = 9 + 31个零）
3. 生成 24 字节 nonce（用于 XChaCha20-Poly1305）
4. 使用 XChaCha20 对称加密文件数据
5. 使用 Poly1305 生成认证标签
6. 将加密密钥写入两组 .key 文件（驱动器根目录）

┌─────────────────────────────────────────────────┐
│              Hive 双重勒索模型                    │
├─────────────────────────────────────────────────┤
│                                                   │
│  第一阶段：数据窃取                               │
│  ├── rclone + Mega.nz 云存储 exfiltration         │
│  ├── 敏感文件识别与分类                            │
│  └── 大规模数据外传                               │
│                                                   │
│  第二阶段：文件加密                               │
│  ├── 终止备份/AV/文件复制进程                      │
│  ├── vssadmin 删除卷影副本                         │
│  ├── 清除 Windows 事件日志                         │
│  └── 执行加密（.key 文件 + HOW_TO_DECRYPT.txt）   │
│                                                   │
│  第三阶段：勒索谈判                               │
│  ├── 受害者登录 Hive "Sales Department"（Tor）     │
│  ├── 管理员与附属协商赎金                          │
│  └── 赎金以 Bitcoin 支付                          │
│                                                   │
│  第四阶段：数据泄露（如未支付）                    │
│  └── 数据发布至 HiveLeaks（Tor 泄露站）           │
│                                                   │
└─────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│                 Hive RaaS 架构                        │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────┐                                      │
│  │  管理员      │ 编写加密软件、设置基础设施、制定规则  │
│  │  (20% 分成) │                                      │
│  └──────┬──────┘                                      │
│         │                                              │
│         ├──→ 附属门户（API）：招募/管理附属机构         │
│         ├──→ 受害者门户（API）：赎金谈判界面            │
│         └──→ 泄露站（HiveLeaks）：数据发布             │
│                                                        │
│  ┌─────────────┐                                      │
│  │  附属机构    │ 侦察、入侵、部署勒索软件              │
│  │  (80% 分成) │ 包括 DEV-0237 等大型附属              │
│  └─────────────┘                                      │
│                                                        │
│  ┌─────────────┐                                      │
│  │  银行家      │ 管理赎金资金流转                      │
│  │             │ 加密货币洗钱                          │
│  └─────────────┘                                      │
│                                                        │
└──────────────────────────────────────────────────────┘

受害者支付 → Bitcoin 钱包 → "银行家"管理 → 多层混币 → 最终提取

zoomyclouds[.]com, zoomedes[.]com, zohosz[.]com, teamviewerq[.]com,
teamviewer-cloudcomputing[.]com, teamviewclous[.]com, teamviewclouds[.]com,
teamcloudcomputing[.]com, staroness[.]com, standartnotess[.]com,
slackicorp[.]com, programmbatcheck[.]com, openofficee[.]com, logmein-cloud[.]com,
logcloudmein[.]com, gimpimage[.]com, foxitr[.]com, fortinetq[.]com,
fidelyclouds[.]com, evernotcorp[.]com, dom82[.]net, cloudsslack[.]com,
anydeskos[.]com, anydeskis[.]com, anyclouddesk[.]com, adubecorp[.]com

title: Hive Ransomware - Volume Shadow Copy Deletion
id: a1b2c3d4-e5f6-7890-abcd-ef1234567890
status: experimental
description: 检测 Hive 勒索软件删除卷影副本的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'vssadmin'
      - 'delete'
      - 'shadows'
      - '/quiet'
  condition: selection
level: high
tags:
  - attack.defense_evasion
  - attack.t1490

title: Hive Ransomware - PowerShell In-Memory Execution
id: b2c3d4e5-f6a7-8901-bcde-f12345678901
status: experimental
description: 检测 Hive 使用的 PowerShell IEX 内存下载执行模式
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'IEX'
      - 'DownloadString'
      - 'Net.WebClient'
  condition: selection
level: high
tags:
  - attack.execution
  - attack.t1059.001

title: Hive Ransomware - Key File Creation Pattern
id: c3d4e5f6-a7b8-9012-cdef-123456789012
status: experimental
description: 检测 Hive 勒索软件在驱动器根目录创建 .key 文件的行为
logsource:
  category: file_event
  product: windows
detection:
  selection:
    TargetFilename|re: '^[A-Z]:\\.*\.key\.[a-zA-Z0-9]+$'
  condition: selection
level: critical
tags:
  - attack.impact
  - attack.t1486

rule Hive_Ransomware_Rust_Variant {
    meta:
        description = "检测 Hive Rust 变体勒索软件"
        author = "Threat Intelligence Team"
        date = "2026-06-22"
        reference = "AA22-321A / Microsoft MSTIC"
    strings:
        $s1 = "HOW_TO_DECRYPT.txt" ascii
        $s2 = ".key." ascii
        $s3 = "Curve25519" ascii
        $s4 = "XChaCha20" ascii
        $s5 = "vssadmin delete shadows" ascii
        $s6 = "HiveLeaks" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}