合规与授权边界 ：本文属于安全研究知识沉淀，面向已获书面授权 的渗透测试、攻防演练与应急响应场景。文中涉及的漏洞原理、攻击路径与检测方法仅限在授权范围内验证与复现，未经授权对任何系统实施文中技术属违法行为 。历史漏洞（含 CVE）复现请在本地靶场或自有环境完成，请勿对未授权目标发起任何测试请求。站点立场：技术探边界，法律守底线，关于本站 。
报告编号 : TIR-2026-0701-018 | 分类等级 : TLP:AMBER | 发布日期 : 2026年7月1日 | 情报来源 : 多源交叉验证（OSINT + CISA/FBI + Europol + NCC Group + CrowdStrike + Mandiant + Trend Micro + Darktrace + The DFIR Report）
一、执行摘要 Hunters International 是2023年初 Hive 被执法瓦解后迅速崛起的勒索软件组织，被广泛认为是 Hive 的直系继承者 。代码重合率 ≥60% ，共享基础设施、谈判流程和加密方案。该组织采用 Rust 编写 的勒索软件，使用 ChaCha20-Poly1305 + RSA OAEP 混合加密，支持 Windows/Linux/ESXi 跨平台加密。
截至2025年，Hunters International 已确认 307+ 受害者 ，包括中国工商银行伦敦分行（6.6TB 数据泄露）、Tata Technologies、US Marshals Service 等高价值目标。2025年7月，该组织宣布**“关闭”**并转向 World Leaks 纯数据窃取模式，但安全社区评估认为这更可能是品牌重塑而非真正退出。
关键发现 维度 关键指标 组织规模 307+ 受害者 首要目标 全球（美/英/欧/亚为主） 加密方式 ChaCha20-Poly1305 + RSA OAEP（Rust 编写） 代码来源 Hive 继承（≥60%代码重合） 商业模式 RaaS（附属机构模式） 关联组织 Hive（前身）、World Leaks（后继） 重大事件 中国工商银行伦敦分行（6.6TB）、US Marshals Service 解密可能性 不存在 （无公开解密工具）当前状态 疑似转型 （2025.07 “关闭”，转向 World Leaks）
威胁等级评估 评估维度 等级 说明 技术能力 🔴 极高 Rust 编写、ChaCha20-Poly1305、跨平台、SharpRhino RAT 运营成熟度 🔴 极高 继承 Hive 基础设施和谈判流程 攻击规模 🔴 极高 307+ 受害者，高价值目标 目标针对性 🔴 极高 金融/政府/制造/科技重点目标 数据泄露风险 🔴 极高 双重勒索 + World Leaks 纯数据模式
二、威胁行为者画像 2.1 组织标识 属性 值 官方名称 Hunters International 别名 Hive 继承者 组织类型 RaaS 活跃周期 2023年初 – 2025.07（“关闭”） 代码来源 Hive 代码库（≥60%重合） 地理归属 俄语地区（推断） 攻击目标 全球 动机 经济利益
2.2 与 Hive 的继承关系 ┌──────────────────────────────────────────────────────┐
│ Hive → Hunters International 继承链 │
├──────────────────────────────────────────────────────┤
│ │
│ Hive（2021-2023.01） │
│ ├── 2023.01 FBI 秘密渗透瓦解 │
│ ├── 获取 300+ 解密密钥 │
│ │ │
│ └──→ Hunters International（2023年初出现） │
│ ├── ≥60% 代码重合 │
│ ├── 继承 Hive 基础设施和谈判流程 │
│ ├── Rust 重写加密器 │
│ ├── ChaCha20-Poly1305 + RSA OAEP │
│ │ │
│ └──→ World Leaks（2025.07 转型） │
│ 纯数据窃取模式，放弃加密 │
│ │
└──────────────────────────────────────────────────────┘三、归因分析 3.1 地理归属 证据类型 详情 置信度 Hive 继承 代码/基础设施/谈判流程来自 Hive（俄语地区） 高 目标选择 排除 CIS 国家 中-高 工具链 SharpRhino RAT 与俄语地区工具链一致 中
四、技术能力评估 4.1 加密方案 属性 值 编程语言 Rust 对称加密 ChaCha20-Poly1305 非对称加密 RSA OAEP 多平台 Windows / Linux / ESXi 文件扩展名 .hunters / 自定义扩展名勒索信 v6 后取消勒索信（策略变更）
4.2 技术演化 阶段 特征 早期 继承 Hive 加密方案，标准双重勒索 中期 Rust 重写，ChaCha20-Poly1305 + RSA OAEP v6+ 取消勒索信，减少执法取证线索 末期 转向 World Leaks 纯数据模式
五、攻击链分析 5.1 初始访问 技术 MITRE ATT&CK 详情 漏洞利用 T1190 CVE-2024-55591（FortiOS）、CVE-2020-14644（WebLogic） 钓鱼邮件 T1566 社会工程 IAB 购买 T1650 初始访问经纪人
5.2 执行与持久化 技术 MITRE ATT&CK 详情 SharpRhino RAT T1071 自定义远程访问木马 计划任务 T1053 持久化 服务创建 T1543 伪装合法服务
5.3 凭证窃取 技术 MITRE ATT&CK 详情 Mimikatz T1003.001 LSASS 凭证提取 DCSync T1003.006 域控制器同步
5.4 横向移动 技术 MITRE ATT&CK 详情 RDP T1021.001 远程桌面 SMB T1021.002 Windows 管理共享 PsExec T1569.002 服务创建远程执行 GPO/域策略 T1484 域内策略分发辅助
5.5 加密与影响 技术 MITRE ATT&CK 详情 ChaCha20-Poly1305 加密 T1486 文件内容加密；Windows/Linux/ESXi 载荷，随机扩展名 RSA-OAEP 密钥封装 T1486 每主机独立密钥 ESXi 加密 T1486 跨平台载荷 卷影删除 T1490 vssadmin delete shadows
六、防御建议 6.1 检测要点 SharpRhino RAT 的 C2 心跳与计划任务持久化批量文件重命名与勒索信（!!!Hunters_International!!!.txt 形态）投放的联动事件 IAB 初始访问渠道：暴露 VPN/边缘设备的暴力破解与凭据填充告警 6.2 缓解与响应 对金融、医疗机构（含中国工商银行伦敦分行事件的镜鉴）核查海外分支的访问隔离与备份策略 域环境限制 DCSync 权限、分段 RDP 访问，收敛本地管理员组 七、总结 Hunters International 证明了 RaaS 瓦解后的品牌接力 模式：Hive 的代码、基础设施与谈判流程被几乎原样继承，连执法压力也一并继承（2024-2025 年多次站点中断）。防御价值在于把 Hive 时代的全部 TTPs 直接映射到该组织——其攻击链几乎没有换代成本。对高价值目标的启示是：一次勒索组织的"倒台"不等于威胁消失，画像必须随继承链滚动更新。
（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。