Royal

2022.02    Conti 勒索组织因内部聊天泄露而公开衰落
           成员誓言继续运营，启动品牌重塑
    ↓
2022.03    Zeon 勒索软件首次出现（Conti 直系继承）
           技术架构与 Conti 高度一致
    ↓
2022.05    Quantum 勒索软件出现（Zeon 更名）
           引入部分加密技术
    ↓
2022.09    Royal 勒索软件首次被发现
           继承 Quantum 技术架构
           开始大规模攻击活动
    ↓
2023.03    CISA/FBI 发布联合公告 AA23-061A
           正式警告 Royal 勒索软件威胁
    ↓
2023.05    BlackSuit 勒索软件出现（Royal 更名）
           保留相同基础设施和 TTPs
           扩展攻击规模
    ↓
2024.06    Unit 42 发布 BlackSuit 分析报告
           确认 93+ 受害者，追踪代号 Ignoble Scorpius
           88% 为中小企业
    ↓
2024.12    CyberScoop 报道：450+ 美国受害者
           $3.7亿+ 赎金支付，$5亿+ 总要求
           95+ 组织（S-RM 统计）
    ↓
2025.07.24 Operation Checkmate（美国执法行动）
           缴获 4 台服务器、9 个域名
           查封 ~$109万 加密货币
           核心成员未被捕
    ↓
2025.Q3    Chaos 勒索软件出现
           疑似 BlackSuit 残余力量品牌重塑
           前成员据报加入 INC Ransom

Conti（2020-2022）
  ├── 2022.02 内部聊天泄露 → 公开衰落
  │
  ├──→ Zeon（2022.03-2022.05）
  │      └──→ Quantum（2022.05-2022.09）
  │             └──→ Royal（2022.09-2023.06）
  │                    └──→ BlackSuit（2023.05-2025.07）
  │                           └──→ Chaos（2025-至今）
  │
  ├──→ Black Basta（独立分支）
  ├──→ Play（独立分支）
  └──→ 其他分支（Trigona、NoEscape 等）

┌──────────────────────────────────────────────────────┐
│           Royal/BlackSuit 部分加密机制                 │
├──────────────────────────────────────────────────────┤
│                                                        │
│  传统勒索软件：                                        │
│  [████████████████████████████████████████] 100% 加密  │
│  耗时长，检测窗口大                                    │
│                                                        │
│  Royal/BlackSuit：                                     │
│  [██░░░██░░░██░░░██░░░██░░░██░░░██░░░██] ~20-50% 加密 │
│  速度快，检测窗口小，仍可完全恢复                       │
│                                                        │
│  配置参数：                                            │
│  ├── 加密百分比（可配置）                               │
│  ├── 块大小（固定间隔）                                 │
│  └── 跳过的数据段间隔                                   │
│                                                        │
│  优势：                                                │
│  ├── 加密速度提升 2-5 倍                               │
│  ├── 减少 I/O 操作，降低被检测概率                      │
│  ├── 缩短攻击者在系统上的暴露时间                       │
│  └── 对大型文件（数据库、VM）效果显著                   │
│                                                        │
└──────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────┐
│         Royal/BlackSuit 双重勒索模型              │
├─────────────────────────────────────────────────┤
│                                                   │
│  第一阶段：数据窃取                               │
│  ├── Rclone 外传至云存储                          │
│  ├── 敏感数据识别与分类                            │
│  └── 数据泄露网站准备                             │
│                                                   │
│  第二阶段：文件加密                               │
│  ├── 部分加密（可配置百分比）                      │
│  ├── 终止安全进程和备份服务                        │
│  ├── 删除卷影副本                                 │
│  └── 部署勒索信（readme.txt）                     │
│                                                   │
│  第三阶段：勒索谈判                               │
│  ├── 专业谈判团队与受害者沟通                      │
│  ├── 赎金以加密货币支付                            │
│  └── 最大单笔要求：$6,000万                       │
│                                                   │
│  第四阶段：数据泄露（如未支付）                    │
│  └── 数据发布至泄露网站                           │
│                                                   │
└─────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│        Conti → BlackSuit 品牌演化链                    │
├──────────────────────────────────────────────────────┤
│                                                        │
│  Conti（2020-2022.02）                                │
│  ├── 全球最活跃 RaaS                                  │
│  ├── 2022.02 内部聊天泄露 → 声誉受损                   │
│  └── 成员分散，多分支独立                              │
│                                                        │
│  Zeon（2022.03-2022.05）                              │
│  ├── 首次品牌重塑，技术架构不变                        │
│  └── 短暂存在，快速更名                                │
│                                                        │
│  Quantum（2022.05-2022.09）                           │
│  ├── 引入部分加密技术                                  │
│  └── 开始建立独立品牌认知                              │
│                                                        │
│  Royal（2022.09-2023.06）                             │
│  ├── CISA/FBI 联合公告（AA23-061A）                    │
│  ├── 大规模攻击活动                                    │
│  └── .royal_u 扩展名                                  │
│                                                        │
│  BlackSuit（2023.05-2025.07）                         │
│  ├── 继承 Royal 全部基础设施                           │
│  ├── 扩展至 450+ 美国受害者                            │
│  ├── .royal_w / .blacksuit 扩展名                     │
│  └── Operation Checkmate（2025.07.24）                │
│                                                        │
│  Chaos（2025-至今）                                    │
│  ├── 疑似 BlackSuit 残余力量                           │
│  └── 前成员据报加入 INC Ransom                         │
│                                                        │
└──────────────────────────────────────────────────────┘

受害者支付 → 加密货币钱包 → 多层混币/跨链转换 → 场外交易（OTC） → 法币提取

GootLoader（SEO 投毒 → 下载器）
    ↓
SystemBC RAT（C2 通道建立）
    ↓
Mimikatz / NanoDump（LSASS 凭证窃取）
    ↓
PsExec / WMIC（横向移动）
    ↓
Rclone（数据外传）
    ↓
Royal / BlackSuit 载荷（部分加密 + 勒索信）

title: Royal/BlackSuit Ransomware - Volume Shadow Copy Deletion
id: d4e5f6a7-b8c9-0123-defg-234567890123
status: experimental
description: 检测 Royal/BlackSuit 勒索软件删除卷影副本的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'vssadmin'
      - 'delete'
      - 'shadows'
  condition: selection
level: high
tags:
  - attack.defense_evasion
  - attack.t1490

title: GootLoader - Initial Access Chain
id: e5f6a7b8-c9d0-1234-efgh-345678901234
status: experimental
description: 检测 GootLoader 下载器的典型行为模式
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\powershell.exe'
    Image|endswith: '\cmd.exe'
    CommandLine|contains: 'SystemBC'
  condition: selection
level: critical
tags:
  - attack.execution
  - attack.t1059.001
  - attack.t1195.002

title: Royal/BlackSuit - Partial Encryption File Pattern
id: f6a7b8c9-d0e1-2345-fghi-456789012345
status: experimental
description: 检测 Royal/BlackSuit 部分加密产生的文件扩展名变更
logsource:
  category: file_event
  product: windows
detection:
  selection:
    TargetFilename|endswith:
      - '.royal_u'
      - '.royal_w'
      - '.blacksuit'
  condition: selection
level: critical
tags:
  - attack.impact
  - attack.t1486

rule Royal_BlackSuit_Ransomware {
    meta:
        description = "检测 Royal/BlackSuit 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-06-23"
        reference = "AA23-061A / Operation Checkmate"
    strings:
        $s1 = ".royal_u" ascii
        $s2 = ".royal_w" ascii
        $s3 = ".blacksuit" ascii
        $s4 = "readme.txt" ascii
        $s5 = "vssadmin delete shadows" ascii
        $s6 = "SystemBC" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}