Lynx

┌──────────────────────────────────────────────────────┐
│           INC Ransom → Lynx 代码继承链                 │
├──────────────────────────────────────────────────────┤
│                                                        │
│  INC Ransom 核心源码                                    │
│  ├── 2024.03 以 $300,000 在 RAMP 论坛出售              │
│  ├── 出售者：salfetka（关联 Nokoyawa/JSWORM/Karma）    │
│  │                                                      │
│  ├──→ Lynx（2024.07 出现）                             │
│  │    ├── 50%+ 函数重叠                                │
│  │    ├── 相同加密方法（AES-128 CTR + Curve25519）     │
│  │    ├── 相同命令行参数控制                             │
│  │    ├── 相同壁纸修改/打印机勒索信功能                 │
│  │    └── Linux ESXi 变体重叠比例更高                   │
│  │                                                      │
│  └──→ Sinobi（另一源码衍生）                            │
│                                                        │
└──────────────────────────────────────────────────────┘

1. 生成 ECC 密钥对（Curve25519）
2. 通过 ECDH 密钥交换生成共享密钥
3. SHA-512 哈希共享密钥 → 派生 AES 密钥
4. AES-128 CTR 模式加密文件数据
5. AES 密钥用攻击者 Curve25519 公钥加密
6. 加密后的 AES 密钥追加到文件尾部

钓鱼 / 漏洞利用 / IAB 购买 / Infostealer 凭证
    ↓
PowerShell 执行 + 有效账户横向移动
    ↓
LSASS 转储（凭证窃取）
    ↓
SoftPerfect NetScan（网络发现）
    ↓
RDP / SMB（横向移动）
    ↓
Restic / 云存储（数据外传，最高4TB）
    ↓
Lynx 载荷（AES-128 CTR + Curve25519 加密 + 壁纸修改 + 打印机勒索信）

title: Lynx Ransomware - Volume Shadow Copy Deletion
id: lx001-vss-deletion
status: experimental
description: 检测 Lynx 勒索软件删除卷影副本的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'vssadmin'
      - 'delete'
      - 'shadows'
  condition: selection
level: high
tags:
  - attack.defense_evasion
  - attack.t1490

title: Lynx Ransomware - Desktop Wallpaper Modification
id: lx002-wallpaper-change
status: experimental
description: 检测 Lynx 修改桌面壁纸为赎金信息的行为
logsource:
  category: registry_event
  product: windows
detection:
  selection:
    TargetObject|contains: 'Control Panel\Desktop\Wallpaper'
    Details|contains: 'background-image.jpg'
  condition: selection
level: high
tags:
  - attack.impact
  - attack.t1491.001

title: Lynx Ransomware - Printer Ransom Note via Fax Service
id: lx003-printer-ransom
status: experimental
description: 检测通过 Windows Fax Service 向打印机发送赎金通知
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\FXSSVC.exe'
    CommandLine|contains: 'print'
  condition: selection
level: high
tags:
  - attack.impact
  - attack.t1491

rule Lynx_Ransomware {
    meta:
        description = "检测 Lynx 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-07-01"
        reference = "Water Lalawag / INC Ransom derivative"
    strings:
        $s1 = ".lynx" ascii
        $s2 = "README.txt" ascii
        $s3 = "Lynx Group" ascii
        $s4 = "background-image.jpg" ascii
        $s5 = "vssadmin delete shadows" ascii
        $s6 = "FXSSVC.exe" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}