INC Ransom

2023.07    INC Ransom 首次被发现
           独立出现，非从既有组织分裂
           以"安全服务"包装勒索行为
    ↓
2023.09    泄露站公布12个受害者
           2个月内快速增长
    ↓
2023.11    利用 CVE-2023-3519（Citrix NetScaler）获取初始访问
           攻击 Yamaha Motor Philippines 等知名企业
           Trend Micro 追踪为 Water Anito
    ↓
2023.12    Linux 版本发布
           12月达到124次攻击尝试峰值（Trend Micro）
    ↓
2024.03    Windows 变体更新
           源码在暗网论坛以 $300,000 出售（用户 salfetka）
           salfetka 关联 Nokoyawa/JSWORM/Nefilim/Karma/Nemty
    ↓
2024.05    Ascension Health 遭攻击（美国最大非营利医疗系统之一）
           NHS Scotland 3TB 数据泄露威胁
    ↓
2024.07    Lynx 勒索软件出现（70%+ 函数相似度）
           Unit 42 确认 Lynx 为 INC 源码衍生
           McLaren Health Care 遭攻击
    ↓
2024.08    Vanilla Tempest（Vice Society）采用 INC 作为主要载荷
           Storm-0494 提供 GootLoader 初始访问
    ↓
2024.Q4    City of Hope 癌症医院遭攻击（80万+患者受影响）
           Sinobi 勒索软件出现（另一源码衍生）
    ↓
2025       成为 Top 10 最活跃勒索组织
           300+ 受害者被添加至泄露站
           Rust 重写变体出现
    ↓
2026       800+ 受害者（Acronis TRU 统计）
           持续活跃，法律/制造/建筑/科技/医疗为首要行业

┌──────────────────────────────────────────────────────┐
│           INC Ransom 关联组织网络                      │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────────┐                                  │
│  │ INC Ransom 核心  │ G1032 / GOLD IONIC              │
│  │ （RaaS 提供者）   │                                 │
│  └────────┬────────┘                                  │
│           │                                            │
│           ├──→ Vanilla Tempest（DEV-0832 / Vice Society）│
│           │    附属机构，2024.08采用 INC 载荷            │
│           │    此前使用 BlackCat/Rhysida/Quantum Locker  │
│           │                                            │
│           ├──→ Storm-0494（IAB 合作伙伴）               │
│           │    提供 GootLoader 初始访问                  │
│           │                                            │
│           ├──→ Lynx 勒索软件（源码衍生）                │
│           │    70%+ 函数相似度，2024.07出现              │
│           │    Water Lalawag（Trend Micro 追踪）        │
│           │                                            │
│           └──→ Sinobi 勒索软件（源码衍生）              │
│                另一源码购买者创建                        │
│                                                        │
└──────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│           INC Ransom 部分加密机制                      │
├──────────────────────────────────────────────────────┤
│                                                        │
│  快速加密模式：                                        │
│  [████░░░░░░░░░░░░░░░░████░░░░░░░░░░░░░░░░]          │
│  加密 1,000,000 字节 → 跳过大块数据 → 继续加密        │
│                                                        │
│  中速加密模式：                                        │
│  [████░░████░░████░░████░░████░░████░░████]           │
│  加密 1,000,000 字节 → 跳过较小间隔 → 继续加密        │
│                                                        │
│  技术细节：                                            │
│  ├── AES-128-CTR 对称加密                             │
│  ├── 多线程并行处理                                    │
│  ├── 命令行参数指定加密路径                             │
│  └── 可配置加密强度                                    │
│                                                        │
└──────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────┐
│         INC Ransom 双重勒索模型                   │
├─────────────────────────────────────────────────┤
│                                                   │
│  第一阶段：数据窃取                               │
│  ├── 7-Zip 归档敏感数据                          │
│  ├── MEGA / MEGAcmd 云存储外传                   │
│  └── 数据泄露站准备                              │
│                                                   │
│  第二阶段：文件加密                               │
│  ├── 部分加密（快速/中速模式）                    │
│  ├── 终止安全进程（ProcTerminator）               │
│  ├── 删除卷影副本                                │
│  └── 壁纸替换为勒索信                            │
│                                                   │
│  第三阶段：勒索谈判                               │
│  ├── TOR 门户登录（唯一用户ID）                   │
│  ├── Clearnet 泄露站公开施压                      │
│  ├── "打电话给律师"选项（法律/监管压力）          │
│  └── 加密货币支付                                │
│                                                   │
│  第四阶段：数据泄露（如未支付）                    │
│  └── 数据发布至公开泄露站                        │
│                                                   │
└─────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│              INC Ransom RaaS 架构                     │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌──────────────────┐                                │
│  │ 核心开发团队       │ 编写/维护勒索软件              │
│  │（GOLD IONIC）      │ 管理泄露站和谈判平台           │
│  │ 20-30% 分成       │ 提供技术支持和操作指导          │
│  └────────┬─────────┘                                │
│           │                                            │
│           ├──→ 附属机构（70-80% 分成）                 │
│           │    ├── Vanilla Tempest（Vice Society）     │
│           │    ├── 独立附属（通过 RAMP 招募）          │
│           │    └── LockBit/BlackCat 流离附属           │
│           │                                            │
│           ├──→ Storm-0494（IAB 合作伙伴）              │
│           │    提供 GootLoader 初始访问                 │
│           │                                            │
│           └──→ 衍生家族                                │
│                ├── Lynx（源码购买者）                   │
│                └── Sinobi（源码购买者）                 │
│                                                        │
└──────────────────────────────────────────────────────┘

受害者支付 → 加密货币钱包 → 多层混币/跨链转换 → 场外交易（OTC） → 法币提取

Storm-0494: GootLoader（SEO 投毒 → 下载器）
    ↓
移交控制权 → Vanilla Tempest / 附属机构
    ↓
Supper 后门（C2 通道建立）
    ↓
AnyDesk / TightVNC（远程管理）
    ↓
Mimikatz / VeeamCreds（凭证窃取）
    ↓
NetScan / Advanced IP Scanner（网络发现）
    ↓
PsExec / WMIC / RDP（横向移动）
    ↓
7-Zip + MEGA（数据外传）
    ↓
INC Ransom 载荷（部分加密 + 壁纸替换 + 勒索信）

title: INC Ransom - Volume Shadow Copy Deletion
id: a7b8c9d0-e1f2-3456-ghij-567890123456
status: experimental
description: 检测 INC Ransom 勒索软件删除卷影副本的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'vssadmin'
      - 'delete'
      - 'shadows'
  condition: selection
level: high
tags:
  - attack.defense_evasion
  - attack.t1490

title: INC Ransom - ProcTerminator Security Process Termination
id: b8c9d0e1-f2a3-4567-hijk-678901234567
status: experimental
description: 检测使用 ProcTerminator 终止安全软件进程的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|contains:
      - 'ProcTerminator'
      - 'ProcessHacker'
    CommandLine|contains:
      - 'TrendMicro'
      - 'mbam'
      - 'avp'
      - 'MsMpEng'
  condition: selection
level: critical
tags:
  - attack.defense_evasion
  - attack.t1562.001

title: INC Ransom - Veeam Credential Dumping
id: c9d0e1f2-a3b4-5678-ijkl-789012345678
status: experimental
description: 检测从 Veeam Backup 管理器提取凭证的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains:
      - 'VeeamCreds'
      - 'Veeam.Backup'
      - 'DecryptPassword'
  condition: selection
level: critical
tags:
  - attack.credential_access
  - attack.t1003

rule INC_Ransom_Ransomware {
    meta:
        description = "检测 INC Ransom 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-06-23"
        reference = "MITRE ATT&CK G1032 / S1139"
    strings:
        $s1 = ".inc" ascii
        $s2 = "ProcTerminator" ascii
        $s3 = "VeeamCreds" ascii
        $s4 = "vssadmin delete shadows" ascii
        $s5 = "CryptStringToBinaryA" ascii
        $s6 = "MEGAcmd" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}