ARTICLE / 安全
RansomHub
报告编号: TIR-2026-0622-007 | 分类等级: TLP:AMBER | 发布日期: 2026年6月22日 | 情报来源: 多源交叉验证（OSINT + 执法通报 + 厂商报告 + CISA/FBI/MS-ISAC/HHS 联合公告 AA24-242A）
一、执行摘要
RansomHub（又名 Greenbottle、Water Bakunawa、Cyclops、Knight）是2024年最具影响力的勒索软件即服务（RaaS）运营组织之一。该组织于 2024年2月 首次被发现，通过俄罗斯暗网论坛 RAMP 招募附属成员，迅速崛起为 2024年最活跃的勒索组织——全年攻击超过 534 个受害者，在2024年第三季度一度成为公开受害者数量最多的勒索组织。
RansomHub 采用 双重勒索模型（数据加密 + 数据窃取），以其极具吸引力的 90/10 附属分成机制（附属成员保留90%赎金）成功吸引了大量来自 LockBit、ALPHV/BlackCat 等已瓦解组织的高级附属成员。截至2024年8月，FBI 确认 RansomHub 已加密和窃取至少 210个受害者 的数据，涉及水务、医疗、政府、金融、能源等关键基础设施领域。
2025年4月1日，RansomHub 暗网泄露站突然下线。DragonForce 勒索组织随后宣布 RansomHub 已"加入联盟"并接管其基础设施。RansomHub 正式停止运营，其附属成员大量迁移至 Qilin、Akira、DragonForce 等组织，推动2025年勒索生态进一步碎片化。
关键发现
| 维度 | 关键指标 |
|---|---|
| 组织规模 | 534+ 受害者（2024年），210+ 经 FBI 确认 |
| 攻击模式 | 双重勒索（加密 + 数据窃取），附带 BitLocker 磁盘锁定 |
| 核心能力 | 多平台加密器（Go/C++）、安全软件卸载、GPO 横向部署 |
| 首要入口 | 钓鱼邮件、已知漏洞利用、密码喷洒、SocGholish/Initial Access Broker |
| 商业模式 | RaaS（附属保留90%，核心10%） |
| 加密器 | Curve 25519 椭圆曲线加密，需密码执行 |
| 关联组织 | Knight/Cyclops（前身）、LockBit/ALPHV（附属来源）、Evil Corp/Scattered Spider |
| 当前状态 | 已停止运营（2025年4月，被 DragonForce 接管） |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|---|---|
| 技术能力 | 🔴 极高 | 多平台加密器、GPO 大规模部署、安全软件卸载、BYOVD |
| 运营成熟度 | 🔴 极高 | 完整 RaaS 平台、附属招募体系、谈判门户 |
| 攻击规模 | 🔴 极高 | 2024年最活跃勒索组织，单季度最高攻击量 |
| 目标针对性 | 🔴 极高 | 关键基础设施全覆盖（水务、医疗、政府、金融、能源） |
| 数据泄露风险 | 🔴 极高 | 双重勒索 + 3-90天支付期限 + 暗网泄露站公开 |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|---|
| 官方名称 | RansomHub |
| 别名 | Greenbottle（Symantec/Broadcom）、Water Bakunawa（Trend Micro）、Cyclops、Knight |
| 组织类型 | 勒索软件即服务（RaaS） |
| 活跃周期 | 2024年2月 — 2025年4月（约14个月） |
| 主要语言 | 俄语（内部/论坛招募）、英语（对外沟通/泄露站） |
| 地理归属 | 俄罗斯/独联体国家（高置信度） |
| 攻击目标 | 全球企业（重点：关键基础设施） |
| 动机 | 经济利益 |
| CIS 豁免 | 是（不攻击独联体国家、古巴、朝鲜、中国） |
| 不攻击目标 | 非营利组织（官方承诺） |
2.2 组织演化时间线
2.3 别名与追踪实体关系
| 追踪机构 | 命名 | 关系说明 |
|---|---|---|
| Symantec/Broadcom | Greenbottle | 组织级追踪代号 |
| Trend Micro | Water Bakunawa | 组织级追踪代号 |
| CISA/FBI | RansomHub / Knight / Cyclops | 官方公告中的多名称引用 |
| 安全社区 | Cyclops / Knight | 前身恶意软件家族名称 |
| MITRE ATT&CK | 尚未独立建组 | 活动映射至已有技术条目 |
2.4 与 Knight/Cyclops 的关联分析
RansomHub 与 Knight（原名 Cyclops）勒索软件存在极强的技术关联：
| 关联维度 | 证据 |
|---|---|
| 源码相似性 | 加密器代码结构高度一致，均使用 GoLang + C++ |
| 管理面板 | RaaS 管理面板设计和功能高度相似 |
| 时间线巧合 | Knight 泄露站2024年2月12日下线 → Knight 源码2月18日出售 → RansomHub 同期出现 |
| 语言特征 | 加密器二进制文件的字符串和行为模式一致 |
| 平台共享 | 均在 RAMP 论坛上运营/招募 |
结论：RansomHub 极可能是 Knight 勒索软件的直接继承者或品牌重塑，由购买了 Knight 3.0 源码的运营者更新后重新发布。
三、归因分析
3.1 地理归属
| 指标 | 评估 |
|---|---|
| 招募平台 | RAMP（俄语主导的网络犯罪论坛） |
| 语言分析 | 俄语内部沟通，英语对外运营 |
| 豁免策略 | 避免攻击俄罗斯、中国、朝鲜、伊朗、白俄罗斯等 CIS 及相关国家/地区 |
| 活动时间模式 | 与东欧/俄罗斯工作时段高度吻合 |
| 附属来源 | LockBit、ALPHV/BlackCat 瓦解后的高级附属流入 |
3.2 归属置信度评估
| 证据维度 | 指向 | 置信度 |
|---|---|---|
| RAMP 论坛招募与俄语沟通 | 俄语区运营者 | 高 |
| Knight 源码交易时间线 | 收购后品牌重塑 | 高 |
| 支付链与托管分析 | 东欧基础设施 | 中 |
综合评估：RansomHub 为高置信度俄语区组织，Knight/Cyclops 源码继承关系已被时间线与代码比对双重证实。
四、防御建议
4.1 检测要点
- 联合公告 AA24-242A 覆盖的初始访问手法：钓鱼、有效凭据滥用、未修补边缘设备
- 针对 Cisco/VMware/Windows/Linux 多平台载荷：ESXi 主机异常进程与跨平台同源 IoC
- 匿名文件传输（Rclone 类）向陌生云端的批量外传
4.2 缓解与响应
- 制造业、金融、医疗（RansomHub 高攻击量行业）优先收敛 RDP/VPN 暴露并强制 MFA
- 90/10 分成吸引的是"熟手"附属——假设其驻留时间短、横向移动快，检测要前置到入口阶段
五、总结
RansomHub 用一年走完头部品牌五年的路：吃下 Knight 源码、用 90/10 分成收割 LockBit/BlackCat 残余人才，2024 年 Q3 起成为公开受害者数最多的组织。它的兴衰节奏（快速崛起→执法与舆论围剿→2025 年站点反复中断）再次验证 RaaS 市场的"产能接替"规律：品牌可以被打掉，攻击产能只会转移。防御侧应把 RansomHub 与 Knight/Cyclops 的 IoC 视为同一画像池滚动使用。
（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。