RansomHub

2024.02    RansomHub 首次出现
           用户"koley"在 RAMP 论坛宣布 RaaS 平台上线
           与 Knight/Cyclops 源码高度相似
           Knight 泄露站同步下线
    ↓
2024.03    首批受害者公开
           攻击 Change Healthcare（此前已被 BlackCat 攻击）
           引发 BlackCat 退出骗局关联猜测
    ↓
2024.Q2    快速扩张
           大量 LockBit/ALPHV 附属成员加盟
           90/10 分成模式吸引顶级附属
           攻击覆盖 11 个关键基础设施领域
    ↓
2024.Q3    ★ 成为全球最活跃勒索组织
           公开受害者数量超越所有竞争对手
           美国为首要目标国
    ↓
2024.08    CISA/FBI/MS-ISAC/HHS 联合发布 AA24-242A 公告
           首次系统性披露 IOCs 和 TTPs
    ↓
2024.Q4    SocGholish 初始访问 + Python 后门
           改装 SCUT 工具用于防御规避
           GPO 批量部署勒索软件
    ↓
2025.01    explorer.exe + NOUACCHECK UAC 绕过
           Python 脚本混淆执行 PowerShell
           BitLocker 预认证加密目标磁盘
    ↓
2025.02    磁盘擦除技术 + BitLocker 锁定
           禁用恢复和启动功能
           攻击手法进一步激进化
    ↓
2025.03.31 ★ RansomHub 泄露站突然下线
    ↓
2025.04.08 DragonForce 宣布接管 RansomHub 基础设施
           "RansomHub decided to move to our infrastructure"
           附属成员迁移至 Qilin/Akira/DragonForce
    ↓
2025.04    ★ RansomHub 正式停止运营
           2025年勒索生态碎片化加剧
    ↓
2025.07    Trend Micro 端点传感器仍检测到少量 RansomHub 残留
           可能为遗留样本或残留基础设施

RansomHub 核心运营团队
├── 恶意软件开发团队
│   ├── 加密器维护（GoLang/GoObfuscate 混淆）
│   ├── ESXi 加密器（C++）
│   └── 工具链开发（SCUT 改装版、Python 后门）
├── 基础设施运营
│   ├── RaaS 管理面板
│   ├── 暗网泄露站（Tor .onion）
│   ├── 谈判门户（Tor .onion）
│   └── C2 服务器
├── 附属网络（Affiliates）
│   ├── 来自 LockBit 的顶级附属
│   ├── 来自 ALPHV/BlackCat 的附属
│   ├── Evil Corp 相关附属
│   ├── Scattered Spider / Octo Tempest
│   └── TA569 / Mustard Tempest（初始访问代理）
└── 初始访问代理（IAB）合作
    ├── SocGholish（FakeUpdates）分发
    ├── 漏洞利用接入
    └── 密码喷洒服务

┌─────────────────────────────────────────────────────────────┐
│  阶段1：初始访问                                             │
│  · 鱼叉式钓鱼邮件（含恶意附件/链接）                         │
│  · SocGholish（SEO 投毒/FakeUpdates）                        │
│  · 已知漏洞利用（VPN/防火墙/网关）                           │
│  · 密码喷洒（针对数据泄露中的凭据）                           │
│  · 初始访问代理（TA569/Scattered Spider）                    │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段2：执行与防御规避                                       │
│  · PowerShell/Python 脚本执行                                │
│  · 解混淆 NODESTEALER → XWORM 加载                           │
│  · 卸载 CrowdStrike/Apex One（Uninstall-CS-ISG.bat）         │
│  · GMER 反Rootkit 工具检测和移除安全工具                     │
│  · 改装 SCUT 工具进行防御规避                                │
│  · BYOVD（Bring Your Own Vulnerable Driver）禁用安全软件     │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段3：持久化与权限提升                                     │
│  · 创建本地管理员账户                                        │
│  · 注册表运行键（HKLM\...\Run）                              │
│  · 启用自动登录（AutoAdminLogon）                             │
│  · fsutil 启用 R2L/R2R 符号链接                              │
│  · Access Token Manipulation（T1134）                        │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段4：凭证访问与发现                                       │
│  · Mimikatz 凭证转储                                         │
│  · LSASS 内存转储                                            │
│  · AngryIPScanner/Nmap/NetScan 网络扫描                     │
│  · PowerShell 远程系统发现                                   │
│  · 定位域控制器和关键资产                                     │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段5：横向移动                                             │
│  · PsExec 远程命令执行                                       │
│  · Python 脚本建立 SSH 连接                                  │
│  · SFTP 传输加密器至多台服务器                                │
│  · GPO 批量部署执行                                         │
│  · SMB 共享投放恶意文件                                      │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段6：数据窃取                                             │
│  · Rclone 同步至远程云存储                                   │
│  · MEGAsync 上传至 MEGA 云盘                                 │
│  · WinSCP/SFTP 外传                                         │
│  · Amazon S3 存储桶利用                                      │
│  · 攻击云存储备份和配置错误的 S3 实例                         │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段7：影响（加密 + 破坏）                                  │
│  · Curve 25519 加密用户文件                                  │
│  · vssadmin.exe 删除卷影副本                                 │
│  · BitLocker 预认证加密目标磁盘（2025年新增）                 │
│  · 磁盘擦除技术（2025年新增）                                │
│  · 禁用 Windows 恢复和启动功能                               │
│  · 投放勒索信（含 Client ID + Tor 联系方式）                 │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  RansomHub RaaS 分成模型                                    │
│                                                             │
│  赎金支付流程：                                             │
│  受害者 → 附属成员钱包 → 附属转付 10% → RansomHub 核心      │
│                                                             │
│  分成比例：                                                 │
│  · 附属成员：90%                                            │
│  · RansomHub 核心：10%                                      │
│                                                             │
│  对比：                                                     │
│  · LockBit：~75-80% 附属 / 20-25% 核心                     │
│  · ALPHV：~80% 附属 / 20% 核心                              │
│                                                             │
│  RansomHub 的 90/10 分成是行业中最高的附属比例              │
│  这是其快速招募顶级附属的核心竞争力                          │
└─────────────────────────────────────────────────────────────┘

title: RansomHub Security Software Uninstallation Attempt
id: ransomhub-security-uninstall-001
status: experimental
description: 检测 RansomHub 伪装卸载安全软件的行为
author: Threat Intelligence Team
date: 2026/06/22
references:
    - https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a
    - https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-ransomhub
tags:
    - attack.defense_evasion
    - attack.t1562.001
logsource:
    category: process_creation
    product: windows
detection:
    selection_bat:
        Image|endswith: '\cmd.exe'
        CommandLine|contains:
            - 'uninstall-cs-isg'
            - 'Uninstall-CS-ISG'
            - 'uninstall'
        CommandLine|contains:
            - 'CrowdStrike'
            - 'Apex One'
    selection_gmer:
        Image|endswith: '\GMER.exe'
    selection_fsutil:
        Image|endswith: '\fsutil.exe'
        CommandLine|contains: 'symlinks'
    condition: selection_bat or selection_gmer or selection_fsutil
level: high

title: RansomHub UAC Bypass via explorer.exe NOUACCHECK
id: ransomhub-uac-bypass-002
status: experimental
description: 检测 RansomHub 使用 explorer.exe NOUACCHECK 参数进行 UAC 绕过
author: Threat Intelligence Team
date: 2026/06/22
references:
    - https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a
tags:
    - attack.privilege_escalation
    - attack.t1548.002
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        Image|endswith: '\explorer.exe'
        CommandLine|contains: 'NOUACCHECK'
    condition: selection
level: critical

title: RansomHub Volume Shadow Copy Deletion
id: ransomhub-vss-deletion-003
status: experimental
description: 检测 RansomHub 删除卷影副本的典型行为
author: Threat Intelligence Team
date: 2026/06/22
references:
    - https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a
tags:
    - attack.impact
    - attack.t1490
logsource:
    category: process_creation
    product: windows
detection:
    selection_vssadmin:
        Image|endswith: '\vssadmin.exe'
        CommandLine|contains:
            - 'delete shadows'
            - 'Delete Shadows'
            - 'delete shadowcopy'
    selection_wmic:
        Image|endswith: '\wmic.exe'
        CommandLine|contains: 'shadowcopy delete'
    selection_powershell:
        Image|endswith: '\powershell.exe'
        CommandLine|contains:
            - 'Win32_ShadowCopy'
            - 'Delete()'
    condition: selection_vssadmin or selection_wmic or selection_powershell
level: critical

title: RansomHub BitLocker Pre-boot Authentication Abuse
id: ransomhub-bitlocker-004
status: experimental
description: 检测 RansomHub 使用 BitLocker 预认证加密目标磁盘
author: Threat Intelligence Team
date: 2026/06/22
references:
    - https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-ransomhub
tags:
    - attack.impact
    - attack.t1486
logsource:
    category: process_creation
    product: windows
detection:
    selection_manage_bde:
        Image|endswith: '\manage-bde.exe'
        CommandLine|contains:
            '-protectors'
            '-enable'
    selection_recovery_off:
        CommandLine|contains:
            '-recoveryoff'
    condition: selection_manage_bde or selection_recovery_off
level: critical

rule RansomHub_Encryptor {
    meta:
        description = "Detects RansomHub ransomware encryptor variants"
        author = "Threat Intelligence Team"
        date = "2026-06-22"
        reference = "CISA AA24-242A"
        tlp = "AMBER"
    strings:
        $golang = "Go" ascii
        $obfuscate = "GoObfuscate" ascii
        $curve = "Curve25519" ascii nocase
        $note1 = "Your personal ID" ascii
        $note2 = ".onion" ascii
        $note3 = "ransom" ascii nocase
        $note4 = "decrypt" ascii nocase
        $vss1 = "vssadmin" ascii nocase
        $vss2 = "delete shadows" ascii nocase
    condition:
        uint16(0) == 0x5A4D and
        $golang and ($obfuscate or $curve) and
        2 of ($note*) and
        1 of ($vss*)
}

rule RansomHub_NODESTEALER {
    meta:
        description = "Detects RansomHub NODESTEALER Python script"
        author = "Threat Intelligence Team"
        date = "2026-06-22"
        reference = "Trend Micro Ransomware Spotlight"
        tlp = "AMBER"
    strings:
        $s1 = "NODESTEALER" ascii
        $s2 = "XWORM" ascii
        $s3 = "vcruntime140" ascii
        $s4 = "github.com" ascii
        $s5 = "dropbox.com" ascii
        $s6 = "requests.get" ascii
        $s7 = "exec(" ascii
        $s8 = "base64" ascii
    condition:
        4 of ($s*)
}

# 检查异常用户账户
net user
net localgroup administrators
Get-LocalUser | Where-Object {$_.Enabled -eq $true}
Get-LocalGroupMember -Group "Administrators"

# 检查注册表运行键
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run"
reg query "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AutoAdminLogon

# 检查计划任务
schtasks /query /fo LIST /v
Get-ScheduledTask | Where-Object {$_.State -ne "Disabled"}

# 检查异常服务
sc query type= service state= all
Get-WmiObject win32_service | Select-Object Name,PathName,StartMode | Sort-Object StartMode

# 检查网络连接
netstat -ano
Get-NetTCPConnection | Where-Object {$_.State -eq "Established"}

# 检查进程
tasklist /v
Get-Process | Select-Object Id,ProcessName,Path | Sort-Object ProcessName

# 检查 BitLocker 状态
manage-bde -status
manage-bde -protectors -get C:

# 检查卷影副本
vssadmin list shadows
Get-WmiObject Win32_ShadowCopy

# 检查安全软件状态
Get-Service -Name "CSFalconService" -ErrorAction SilentlyContinue
Get-Service -Name "WRSVC" -ErrorAction SilentlyContinue

            低影响    中影响    高影响    极高影响
可能性      │         │         │         │
极高        │         │         │    ★    │  ← 关键基础设施
高          │         │         │    ★    │  ← 大型企业
中          │         │    ★    │         │  ← 中型企业
低          │         │    ★    │         │  ← 小型企业
            │         │         │         │