Play

2022.06    Play 首次被发现
           使用间歇性加密方案
           目标：FortiOS 和 MS Exchange 漏洞利用
    ↓
2022.12    FortiGuard Labs 发布首次分析报告
           确认 .PLAY 文件扩展名和间歇性加密特征
    ↓
2023.04    首次在澳大利亚发现攻击活动
    ↓
2023.10    FBI 确认约 300 个受影响实体
           利用 ProxyNotShell（CVE-2022-41040/41082）
    ↓
2023.12    CISA/FBI/ASD ACSC 发布联合公告 AA23-352A
           首次官方公开 Play 勒索组织 TTPs
    ↓
2024       成为全球第四大活跃勒索组织
           攻击范围扩展至 ESXi/Linux 平台
           开发自研工具 Grixba 和 AlphaVSS
    ↓
2025.01    利用 SimpleHelp CVE-2024-57727 进行攻击
           与初始访问经纪人合作扩大攻击面
    ↓
2025.04    利用 Windows 零日漏洞 CVE-2025-29824
           （CISA 2025年4月补丁修复）
    ↓
2025.06    CISA 更新联合公告（2025.06.04）
           FBI 确认约 900 个受影响实体
           新增 TTPs 和 IOC
    ↓
2025-26    持续活跃，利用多个新漏洞
           包括 CVE-2025-31324、CVE-2025-61882 等

Play 核心团队
├── 恶意软件开发
│   ├── Playcrypt 加密器（Windows/Linux/ESXi）
│   ├── Grixba（自研信息窃取器/网络扫描器）
│   └── AlphaVSS（VSS 管理工具，开源修改）
├── 基础设施运营
│   ├── 泄露站（"Play News" 倒计时页面）
│   ├── C2 服务器
│   └── SystemBC (Coroxy) 代理
├── 封闭式附属网络
│   └── 仅邀请制，"保证交易保密性"
└── 初始访问经纪人（IAB）合作
    └── 合作利用 SimpleHelp 等漏洞

文件大小计算
    ↓
块大小 = 0x100000 (1MB)
    ↓
┌─────────────────────────────────────────┐
│  文件大小 ≤ 2,000,000 字节              │
│  → 加密前半部分                          │
├─────────────────────────────────────────┤
│  文件大小 > 2,000,000 字节              │
│  → 分为 4 个块，每个块加密前 50% 数据    │
│  → 跳过中间未加密区域                    │
└─────────────────────────────────────────┘
    ↓
加密算法：ChaCha20
密钥管理：每文件唯一对称密钥 + RSA 公钥加密

┌─────────────────────────────────────────────────────────────┐
│  阶段1：初始访问                                              │
│  · FortiOS 漏洞利用（CVE-2018-13379、CVE-2020-12812）         │
│  · MS Exchange ProxyNotShell（CVE-2022-41040/41082）          │
│  · SimpleHelp 路径遍历（CVE-2024-57727）                       │
│  · 受损凭证 + RDP 暴露                                       │
│  · Windows 零日（CVE-2025-29824）                             │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段2：侦察与发现                                            │
│  · AdFind：Active Directory 枚举                             │
│  · Grixba：域用户/计算机扫描、安全软件检测                     │
│  · BloodHound：攻击路径分析                                  │
│  · Nltest：域信任关系枚举                                    │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段3：防御规避                                              │
│  · GMER/IOBit/PowerTool：禁用 EDR/AV                        │
│  · Wevtutil：清除 Windows 事件日志                           │
│  · Cobalt Strike：商业渗透框架                               │
│  · SystemBC (Coroxy)：SOCKS 代理后门                        │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段4：凭证访问与权限提升                                     │
│  · Mimikatz：LSASS 内存凭证转储                              │
│  · WinPEAS：本地权限提升检查                                 │
│  · Nekto/PriviCMD：远程权限提升                              │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段5：横向移动                                              │
│  · PsExec：远程命令执行                                      │
│  · Plink：SSH 隧道                                           │
│  · WinSCP：文件传输                                          │
│  · Empire：后渗透框架                                        │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段6：数据窃取与备份删除                                     │
│  · AlphaVSS：卷影副本管理/删除                               │
│  · 自定义 VSS 复制工具                                       │
│  · WinRAR：数据压缩                                          │
│  · 通过加密通道外传数据                                       │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段7：加密与勒索                                            │
│  · Playcrypt 间歇性加密（ChaCha20）                          │
│  · .PLAY 文件扩展名（早期）/ 随机扩展名（新版）               │
│  · ReadMe.txt 勒索信（含联系方式）                            │
│  · 泄露站"Play News"倒计时                                   │
│  · 电话威胁受害者高管                                         │
└─────────────────────────────────────────────────────────────┘

title: Play Ransomware Grixba Info Stealer Execution
id: a]play-grixba-001
status: experimental
description: 检测 Play 勒索组织自研 Grixba 工具的执行行为
author: Threat Intelligence Team
date: 2026/06/22
tags:
    - attack.discovery
    - attack.t1016
    - attack.t1518.001
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        Image|endswith:
            - '\grixba.exe'
            - '\grixba.dll'
    condition: selection
level: high

title: Play Ransomware AlphaVSS Shadow Copy Deletion
id: a]play-alphavss-002
status: experimental
description: 检测 Play 勒索组织使用 AlphaVSS 删除卷影副本
author: Threat Intelligence Team
date: 2026/06/22
tags:
    - attack.impact
    - attack.t1490
logsource:
    category: process_creation
    product: windows
detection:
    selection_vssadmin:
        Image|endswith: '\vssadmin.exe'
        CommandLine|contains:
            - 'delete shadows'
            - 'delete shadowcopy'
    selection_alphavss:
        Image|endswith: '\alphavss.exe'
    selection_wevtutil:
        Image|endswith: '\wevtutil.exe'
        CommandLine|contains:
            - 'cl Security'
            - 'cl System'
            - 'cl Application'
    condition: selection_vssadmin or selection_alphavss or selection_wevtutil
level: critical

title: Play Ransomware Intermittent Encryption Pattern
id: a]play-intermittent-003
status: experimental
description: 检测 Play 勒索软件间歇性加密行为特征
author: Threat Intelligence Team
date: 2026/06/22
tags:
    - attack.impact
    - attack.t1486
logsource:
    category: file_rename
    product: windows
detection:
    selection:
        TargetFilename|endswith:
            - '.PLAY'
    condition: selection
level: high

rule Playcrypt_Detect {
    meta:
        description = "Detects Playcrypt ransomware used by Play group"
        author = "Threat Intelligence Team"
        date = "2026-06-22"
        reference = "CISA AA23-352A"
        tlp = "AMBER"
    strings:
        $s1 = "ReadMe.txt" ascii
        $s2 = ".PLAY" ascii
        $s3 = "vssadmin delete shadows" ascii
        $s4 = "YOUR FILES ARE ENCRYPTED" ascii
        $s5 = "Play News" ascii
        $hex1 = { 48 8B 05 ?? ?? ?? ?? 48 89 44 24 ?? E8 }
    condition:
        3 of ($s*) or ($hex1 and any of ($s*))
}