ARTICLE / 安全
Hive
报告编号: TIR-2026-0622-009 | 分类等级: TLP:AMBER | 发布日期: 2026年6月22日 | 情报来源: 多源交叉验证（OSINT + CISA/FBI/HHS 联合公告 AA22-321A + DOJ 执法行动报告 + Microsoft MSTIC + Europol）
一、执行摘要
Hive 是2021年6月至2023年1月间活跃的全球顶级勒索软件即服务（RaaS）组织，在被执法部门瓦解前已攻击超过 1,500 个组织，覆盖 80+ 国家，累计收取赎金超过 1 亿美元。该组织以医疗卫生 sector 为首要目标，同时攻击政府设施、通信、关键制造和信息技术行业。
Hive 的核心特征在于其被 FBI 秘密渗透并瓦解的戏剧性结局——2022年7月起，FBI 坦帕外勤站特工以附属机构身份潜入 Hive 内部网络，在长达7个月的秘密行动中获取超过 300 个解密密钥，在勒索谈判开始前即向336名受害者提供了密钥，阻止了约 1.3 亿美元的额外赎金支付。2023年1月26日，美国司法部长 Merrick Garland 亲自宣布"我们黑入了黑客"（We hacked the hackers）。
关键发现
| 维度 | 关键指标 |
|---|---|
| 组织规模 | 1,500+ 受害者，80+ 国家（截至2023.01被瓦解时） |
| 赎金收入 | 1 亿美元+（已确认收取），1.3 亿美元（FBI 阻止的额外赎金） |
| 加密方式 | Go 变体：AES 对称加密 → Rust 变体：ECDH Curve25519 + XChaCha20-Poly1305 |
| 首要入口 | RDP/VPN 凭证攻击 + ProxyShell + FortiOS CVE + Batloader（Google Ads） |
| 商业模式 | RaaS（附属80% / 管理员20%分成） |
| 关联组织 | Conti 生态（人员重叠）、DEV-0237/Pistachio Tempest（大型附属） |
| 多平台支持 | Windows、Linux、FreeBSD、VMware ESXi |
| MITRE ATT&CK | 无独立组织 ID（Microsoft 追踪代号 DEV-0237 → Pistachio Tempest） |
| 解密可能性 | 部分存在（FBI 渗透期间获取并分发了300+密钥，但无公开解密工具） |
| 当前状态 | 已瓦解（2023.01 执法行动，核心成员后续被捕） |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|---|---|
| 技术能力 | 🟠 高 | Go→Rust 重写、ECDH+XChaCha20 加密、多平台变体 |
| 运营成熟度 | 🔴 极高 | 三大 API 门户（附属/受害者/泄露站）、专业化分工 |
| 攻击规模 | 🔴 极高 | 1,500+ 受害者，80+ 国家，Top-5 勒索威胁 |
| 目标针对性 | 🔴 极高 | 医疗卫生为首要目标，学校、政府、关键基础设施 |
| 数据泄露风险 | 🔴 极高 | 双重勒索 + HiveLeaks 泄露站倒计时 |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|---|
| 官方名称 | Hive / Hive Ransomware Group |
| 别名 | DEV-0237（Microsoft，后更名为 Pistachio Tempest） |
| MITRE ATT&CK | 无独立组织 ID |
| 组织类型 | RaaS（开发者-附属模式） |
| 活跃周期 | 2021年6月 – 2023年1月（被 FBI 瓦解） |
| 主要语言 | 英语（勒索信/泄露站）、俄语（内部通信） |
| 地理归属 | 俄语地区（高置信度）；核心领导者位于乌克兰（2023.11被捕） |
| 攻击目标 | 全球 80+ 国家 |
| 动机 | 经济利益 |
2.2 组织演化时间线
三、归因分析
3.1 地理归属
| 证据类型 | 详情 | 置信度 |
|---|---|---|
| 语言分析 | 内部通信使用俄语；勒索信/泄露站使用英语 | 高 |
| 执法行动 | 2023.11 乌克兰西部逮捕5名核心成员（含领导者） | 高 |
| 关联人物 | Mikhail Matveev（Wazawaka）— 俄罗斯国籍，2024.11在俄被捕 | 高 |
| ** Conti 关联** | 人员与 Conti 生态重叠，但未直接支持乌克兰入侵 | 中-高 |
| 基础设施 | C2 服务器位于洛杉矶（被 FBI 缴获） | 中 |
3.2 Conti 生态关联
Hive 与 Conti 勒索组织存在显著的人员和技术重叠：
- 人员共享：Mikhail Matveev（Wazawaka）同时作为 Conti、LockBit、Hive、Trigona、NoEscape 的附属成员，并在 Babuk 担任管理角色
- 技术重叠：Hive 部分 TTPs 与 Conti 相似（凭证窃取、横向移动、卷影副本删除）
- 关键区别：Hive 未公开表态支持俄罗斯对乌克兰的军事入侵，而 Conti 声称与俄罗斯政府保持一致
- 资金流向：Hive 的赎金支付可能流向 Conti 内部的同一批人员
3.3 关键人物
| 人物 | 角色 | 状态 |
|---|---|---|
| Mikhail Matveev（Wazawaka） | 附属/多重角色 | 2024.11 在俄罗斯被捕 |
| 未命名领导者（32岁） | 组织核心领导 | 2023.11 在乌克兰被捕 |
| 未命名"银行家"（~40岁） | 资金管理 | 2023.12 在法国巴黎被捕 |
| DEV-0237 | 大型附属机构 | Microsoft 追踪，活跃于医疗/软件行业 |
四、技术能力评估
4.1 加密方案
| 组件 | 实现 | 说明 |
|---|---|---|
| 对称加密 | ChaCha20 / AES | 逐文件加密内容 |
| 非对称加密 | RSA-4096 | 保护会话密钥，密钥对不落盘 |
| 文件扩展名 | .hive | 加密后统一追加 |
| 跨平台 | Windows / Linux / ESXi | 附属可按环境选择载荷 |
4.2 运行模式
- Normal Mode：真实加密并删除卷影副本
- Beta Mode：仅标记不加密，用于附属测试与谈判施压（FBI 公告重点提示）
- 横向工具：Mimikatz、Rclone 外传、PsExec/PsList 家族辅助
五、防御建议
5.1 检测要点
- 勒索信与
.hive批量重命名事件联动告警 - Rclone 匿名化端点外传与卷影副本删除（T1490）的组合行为
- 谈判中断信号：Hive 被 FBI 渗透期间，凡谈判中出现异常密钥提供的均为执法介入迹象
5.2 缓解与响应
- 对医疗、政府等 Hive 偏好行业：优先加固 RDP/VPN 与备份体系
- 收到 Hive 赎金信时，先通过官方渠道核实是否已获 FBI “Hive 密钥"援助（历史上 336 家受害者直接受益于该行动）
六、总结
Hive 的意义在于其结局：FBI 长达 7 个月的秘密渗透产出 300+ 解密密钥，在谈判前即瓦解了勒索闭环，成为执法介入 RaaS 的范式案例。组织本身已随 2023 年瓦解成为历史，但其人员流入 Hunters International 等新品牌、TTPs 在 Conti 生态内延续，说明对 Hive 的画像更新应长期保留并用于继承系组织的关联比对。
（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。