Scattered Lapsus$ Hunters

┌──────────────────────────────────────────────────────┐
│       Scattered Lapsus$ Hunters 联盟结构              │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────────┐  ┌─────────────────┐            │
│  │ Scattered Spider │  │   LAPSUS$       │            │
│  │（Octo Tempest）   │  │（2022年活跃）   │            │
│  │ 社会工程专家      │  │ 内部人员招募    │            │
│  │ SaaS/Salesforce  │  │ 电信/科技重点    │            │
│  └────────┬────────┘  └────────┬────────┘            │
│           │                     │                      │
│           └──────────┬──────────┘                      │
│                      │                                  │
│              ┌───────┴───────┐                         │
│              │ ShinyHunters  │                         │
│              │（数据窃取专家）│                         │
│              │ 大规模数据外泄│                         │
│              └───────────────┘                         │
│                                                        │
│  联盟特征：                                            │
│  ├── 非正式合并，情境性协作                            │
│  ├── 能力互补：社会工程 + 内部人员 + 数据窃取          │
│  ├── 共同目标：高价值大型企业                          │
│  └── 松散结构，成员可独立行动                          │
│                                                        │
└──────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│       Scattered Lapsus$ Hunters 攻击策略              │
├──────────────────────────────────────────────────────┤
│                                                        │
│  传统勒索组织：                                        │
│  恶意软件 / 漏洞利用 → 初始访问                        │
│                                                        │
│  SL Hunters 模式：                                     │
│  纯社会工程（无恶意软件、无漏洞利用）                   │
│         ↓                                              │
│  1. 电话/邮件冒充 IT 支持 / 高管                       │
│         ↓                                              │
│  2. 诱导员工重置凭证 / 安装远程工具                     │
│         ↓                                              │
│         ↓                                              │
│  4. 横向移动至 SaaS 环境（Salesforce/Office 365）      │
│         ↓                                              │
│  5. 数据窃取 + 勒索                                    │
│                                                        │
│  核心优势：                                            │
│  ├── 无恶意文件，端点检测完全失效                      │
│  ├── 无漏洞利用，补丁管理无效                          │
│  ├── 合法凭证，行为类似正常用户                        │
│  └── SaaS 环境深度入侵，传统网络分段无效               │
│                                                        │
└──────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│       SL Hunters + DragonForce 合作模式               │
├──────────────────────────────────────────────────────┤
│                                                        │
│  Scattered Lapsus$ Hunters：                           │
│  ├── 纯社会工程获取初始访问                            │
│  ├── 身份为中心入侵 SaaS 环境                          │
│  └── 提供合法凭证和深度访问                            │
│                                                        │
│  DragonForce：                                         │
│  ├── 部署勒索软件载荷                                  │
│  ├── 加密和数据泄露管理                                │
│  └── 谈判和赎金收取                                    │
│                                                        │
│  合作案例：                                            │
│  └── 2025.04-06 英国零售攻击（Harrods/M&S/Co-op）     │
│                                                        │
└──────────────────────────────────────────────────────┘

电话/邮件社会工程（冒充 IT/高管）
    ↓
诱导凭证重置 / 远程工具安装
    ↓
合法凭证登录（SaaS/Office 365/Salesforce）
    ↓
SaaS 环境横向移动（API/SSO 滥用）
    ↓
ShinyHunters 数据窃取（SaaS 导出/API 外传）
    ↓
DragonForce 部署勒索软件（联合攻击）
    ↓
ShinySp1d3r 加密 + 数据泄露威胁

title: SL Hunters - Anomalous Password Reset
id: slh001-password-reset
status: experimental
description: 检测异常凭证重置行为（可能的社会工程攻击）
logsource:
  category: authentication
  product: windows
detection:
  selection:
    EventID: 4724  # 密码重置尝试
  timeframe: 5m
  condition: selection | count() > 3
level: high
tags:
  - attack.credential_access
  - attack.t1566

title: SL Hunters - Anomalous SaaS Login
id: slh002-saas-login
status: experimental
description: 检测 SaaS 环境异常登录行为
logsource:
  category: authentication
  product: office365
detection:
  selection:
    ResultType: 0  # 成功登录
    Location|contains:  # 异常地理位置
      - 'Unknown'
  condition: selection
level: high
tags:
  - attack.initial_access
  - attack.t1078

title: SL Hunters - Remote Tool Installation
id: slh003-remote-tool
status: experimental
description: 检测远程管理工具异常安装
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith:
      - '\AnyDesk.exe'
      - '\ScreenConnect.exe'
  filter:
    ParentImage|endswith:
      - '\msiexec.exe'
      - '\setup.exe'
  condition: selection and not filter
level: high
tags:
  - attack.execution
  - attack.t1219

rule ShinySp1d3r_Ransomware {
    meta:
        description = "检测 ShinySp1d3r 勒索工具"
        author = "Threat Intelligence Team"
        date = "2026-07-01"
        reference = "Scattered Lapsus$ Hunters"
    strings:
        $s1 = "ShinySp1d3r" ascii
        $s2 = "ShinyHunters" ascii
        $s3 = "vssadmin delete shadows" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        2 of ($s*) and $hex1
}