Trigona

┌──────────────────────────────────────────────────────┐
│           Trigona 关联组织网络                          │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────────┐                                  │
│  │ Trigona 核心     │ Water Ungaw / Rhantus           │
│  │（RaaS 提供者）    │ Delphi 编写                     │
│  └────────┬────────┘                                  │
│           │                                            │
│           ├──→ CryLock / Cryakl                        │
│           │    TTPs 高度重叠                            │
│           │    勒索信文件名和通信邮箱相似                │
│           │                                            │
│           ├──→ ALPHV / BlackCat（管理协作）             │
│           │    利用 ALPHV 声誉和泄露站施压              │
│           │                                            │
│           └──→ BlackNevas（衍生）                       │
│                Trigona 代码衍生变体                     │
│                                                        │
└──────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│           Trigona 数据擦除器功能                       │
├──────────────────────────────────────────────────────┤
│                                                        │
│  /erase 参数：                                         │
│  ├── 用 NULL 字节覆写文件（默认前512KB）               │
│  ├── 结合 /full 可覆写全部内容                         │
│  ├── 重命名为 ._erased 扩展名                          │
│  └── 删除文件                                          │
│                                                        │
│  影响：                                                │
│  ├── 阻碍取证分析                                      │
│  ├── 彻底摧毁受害者数据                                │
│  └── 即使支付赎金也无法恢复                            │
│                                                        │
└──────────────────────────────────────────────────────┘

暴力破解（MSSQL/RDP）/ RAMP 凭证购买 / CVE-2021-40539 / 钓鱼
    ↓
PowerShell + Cobalt Strike（执行与持久化）
    ↓
HRSword / PCHunter / Gmer / WKTools / StpProcessMonitorByovd（内核级防御瘫痪）
    ↓
Mimikatz / Nirsoft 系列 / MalExtractor（凭证窃取）
    ↓
AnyDesk / ScreenConnect / SplashTop（横向移动）
    ↓
uploader_client.exe（自研窃取工具，5并行连接，2048MB轮换）
    ↓
Trigona 载荷（AES-256 OFB + RSA-4112 加密 / 数据擦除 / ._locked 扩展名）

title: Trigona - BYOVD Driver Loading
id: tg001-byovd
status: experimental
description: 检测 Trigona 使用 BYOVD 技术加载脆弱内核驱动
logsource:
  category: driver_load
  product: windows
detection:
  selection:
    ImageLoaded|endswith:
      - '\wktools.sys'
      - '\PCHunter*.sys'
  condition: selection
level: critical
tags:
  - attack.defense_evasion
  - attack.t1068

title: Trigona - Custom Uploader Client
id: tg002-uploader
status: experimental
description: 检测 Trigona 自研数据窃取工具 uploader_client.exe
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\uploader_client.exe'
  condition: selection
level: critical
tags:
  - attack.exfiltration
  - attack.t1567

title: Trigona - Data Wiper Function
id: tg003-wiper
status: experimental
description: 检测 Trigona 数据擦除器功能（._erased 扩展名）
logsource:
  category: file_event
  product: windows
detection:
  selection:
    TargetFilename|endswith: '._erased'
  condition: selection
level: critical
tags:
  - attack.impact
  - attack.t1485

rule Trigona_Ransomware {
    meta:
        description = "检测 Trigona 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-07-01"
        reference = "Water Ungaw / Rhantus"
    strings:
        $s1 = "._locked" ascii
        $s2 = "._erased" ascii
        $s3 = "how_to_decrypt.hta" ascii
        $s4 = "Trigona" ascii
        $s5 = "CFGS" ascii
        $s6 = "uploader_client" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}