NoEscape

2019       Avaddon 勒索组织出现
           双勒索模式， targeting 医疗、政府、金融等
    ↓
2021.06    Avaddon 停止运营
           向所有受害者发布解密密钥
    ↓
2023.03    Trend Micro 记录到 NoEscape 样本
           Ransom.Win32.NOESCAPE.A（2022.08.18）
           Ransom.Win32.NOESCAPE.B（2023.03.29）
           部分功能可能在正式运营前已测试
    ↓
2023.05    NoEscape RaaS 在地下论坛公开招募附属成员
           声称 C++ 从零开发，未使用第三方源码
    ↓
2023.06    安全研究机构（CRIL、SOCRadar 等）发布详细分析报告
           发现与 Avaddon 的高度相似性
    ↓
2023.10    最后已知受害者发布于泄露站（10月27日）
    ↓
2023.12    NoEscape Tor 网站突然下线
           附属成员报告运营者卷款消失（退出骗局）
           多个黑客论坛出现仲裁投诉
    ↓
2023.12    LockBit 开始招募 NoEscape 和 BlackCat/ALPHV 的附属成员
           NoEscape 在 XSS 和 Exploit 论坛被封禁

┌─────────────────────────────────────────────────────────────┐
│  1. 生成全局 ChaCha20 密钥                                   │
│  2. 使用该密钥为所有文件生成独立 ChaCha20 密钥               │
│  3. 使用 ChaCha20 加密文件内容                              │
│  4. 使用 RSA-2048 公钥加密全局 ChaCha20 密钥                │
│  5. 将加密后的密钥追加到文件尾部                            │
│  6. 重命名文件（添加10位随机扩展名）                        │
│  7. 删除原始文件                                            │
│  8. 投放勒索信（HOW_TO_RECOVER_FILES.TXT）                  │
│  9. 上传密钥至 C2 服务器                                    │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 A（常见）: 漏洞利用                                │
│  ──────────────────────────                                 │
│  1. 扫描公网暴露的 VPN、RDP 等远程服务                      │
│  2. 利用未修补的漏洞获取初始访问权限                        │
│  3. 部署初始载荷                                            │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 B: 被盗凭证                                        │
│  ──────────────────                                         │
│  1. 从暗网初始访问代理（IAB）购买有效凭证                   │
│  2. 使用被盗凭证登录目标网络                                │
│  3. 建立持久化访问                                          │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 C: 钓鱼/恶意下载                                   │
│  ──────────────────────                                     │
│  1. 发送钓鱼邮件诱导用户执行恶意附件                        │
│  2. 或用户访问可疑网站下载恶意文件                          │
│  3. 恶意软件作为投放载荷或用户 unknowingly 下载             │
└─────────────────────────────────────────────────────────────┘

内网侦察
├── 异步 LAN 扫描（DFS、SMB 协议发现）
├── 域枚举与 AD 发现
├── 网络共享与驱动器枚举
├── 备份系统定位
└── 关键服务器定位

权限提升
├── 凭证窃取（LSASS 转储、浏览器凭据）
├── 服务与进程终止（数据库、备份、安全软件）
├── 安装远程访问工具
└── 横向移动准备

防御规避
├── Safe Mode 重启（禁用 EDR/安全软件）
├── 终止目标进程和服务
├── 删除卷影副本（vssadmin）
├── 清除事件日志
└── VHD 卸载

数据窃取
├── 外传至 C2 服务器
├── 优先: 敏感业务数据、人事数据、财务数据
└── 为三重勒索做准备

加密部署
├── 横向移动：RDP、SMB（PsExec）、DFS
├── 异步 LAN 扫描发现网络共享
├── 批量扫描共享文件夹
└── 部署加密载荷

加密执行
├── 终止目标进程（数据库、备份、虚拟化、EDR）
├── 删除卷影副本
├── 加密文件（ChaCha20 + RSA-2048，共享密钥模式）
├── 重命名文件（添加10位随机扩展名）
├── 投放勒索信（HOW_TO_RECOVER_FILES.TXT）
├── 上传密钥至 C2 服务器
└── 通过 Tor 谈判门户联系受害者

专业服务        ████████████████████████████████████████ 最高优先级
制造业          ████████████████████████████████           高优先级
信息技术        ██████████████████████████████             高优先级
（电信为主）
零售            ██████████████████████████                 中优先级
政府            ████████████████████████                   中优先级
能源            ████████████████████████                   中优先级
医疗健康        ██████████████████                         中优先级
建筑            ████████████████                           中优先级
其他            ████████████████████████████████████████   广泛

高概率受害特征:
├── 使用未修补漏洞的公网暴露服务（VPN、RDP）
├── 弱口令或凭证泄露（暗网可购买）
├── 无 MFA 或 MFA 配置不当
├── 依赖 Active Directory 且未加固
├── 无 EDR 或 EDR 配置不当
├── 专业服务、制造、信息技术、零售等行业
├── 北美地区企业为主要目标
└── 中小企业至大型企业全覆盖

退出骗局时间线
├── 2023年12月: Tor 网站突然下线
├── 附属成员存款和赎金分成被卷走
├── 受害者赎金支付后无法获得解密器
├── 黑客论坛（XSS、Exploit）发起仲裁投诉
├── NoEscape 被多个论坛封禁
└── LockBit 趁机招募流离失所的附属成员

基础设施策略:
├── Tor 隐藏服务（管理面板、泄露站、谈判门户）
├── 全自动化运营系统
├── 私密聊天系统（恢复公司沟通）
├── 比特币匿名化服务
├── 访客账户系统（合作伙伴访问）
└── 2023年12月全部下线（退出骗局）

title: NoEscape Ransomware - Shadow Copy Deletion
id: noescape-shadow-copy-deletion
status: experimental
description: 检测 NoEscape 勒索软件删除影子副本的行为
author: Threat Intelligence Team
date: 2026/06/24
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        CommandLine|contains|all:
            - 'vssadmin'
            - 'delete'
            - 'shadows'
            - '/quiet'
    condition: selection
level: critical

title: NoEscape Ransomware - Safe Mode Reboot Script
id: noescape-safe-mode-reboot
status: experimental
description: 检测强制系统进入安全模式的异常脚本行为
author: Threat Intelligence Team
date: 2026/06/24
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        CommandLine|contains: 'bcdedit'
        CommandLine|contains|all:
            - 'safeboot'
            - 'network'
    condition: selection
level: high

title: NoEscape Ransomware - Mass Service Termination
id: noescape-service-termination
status: experimental
description: 检测批量终止数据库、备份和安全软件服务的行为
author: Threat Intelligence Team
date: 2026/06/24
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        Image|endswith: '\net.exe'
        CommandLine|contains: 'stop'
        CommandLine|contains|any:
            - 'veeam'
            - 'sql'
            - 'backup'
            - 'defend'
            - 'antivirus'
    condition: selection
level: high

rule NoEscape_Ransomware {
    meta:
        description = "Detects NoEscape ransomware samples"
        author = "Threat Intelligence Team"
        date = "2026-06-24"
    
    strings:
        $ransom_note = "HOW_TO_RECOVER_FILES.TXT" ascii
        $chacha = "ChaCha20" ascii
        $rsa = "RSA-2048" ascii
        $safe_mode = "safeboot" ascii
        $vssadmin = "vssadmin delete shadows" ascii
        $dfs_scan = "DFS" ascii
        $smb_scan = "SMB" ascii
        
    condition:
        $ransom_note and 2 of ($chacha, $rsa, $safe_mode, $vssadmin, $dfs_scan, $smb_scan)
}

# 1. 强制 MFA 对所有 VPN 账户
# 2. 修补已知高危漏洞
# 3. 限制 VPN 访问 IP 白名单
# 4. 禁用不必要的远程服务

# 5. 检查 VPN 设备配置
# 6. 全量轮换 VPN 凭证

# 1. 隔离受感染主机
netsh advfirewall firewall set rule group="remote desktop" new enable=no
netsh advfirewall firewall set rule group="file and printer sharing" new enable=no

# 2. 检查 Safe Mode 异常配置
bcdedit /enum

# 3. 检查卷影副本
Get-WmiObject Win32_Shadowcopy

# 4. 检查异常服务终止
Get-EventLog -LogName System -EntryType Information -Newest 50 | Where-Object {$_.Message -like "*stopped*"}

# 5. 检查异常网络连接
netstat -ano | findstr "ESTABLISHED"

# 6. 检查勒索信文件
Get-ChildItem -Recurse -Filter "HOW_TO_RECOVER_FILES.TXT" -ErrorAction SilentlyContinue

# 7. 检查10位随机扩展名的加密文件
Get-ChildItem -Recurse | Where-Object {$_.Extension -match '^\.[A-Z]{10}$'}

# 8. 收集取证数据