ARTICLE / 安全

Trigona

Updated
Reading time
5 min

报告编号: TIR-2026-0701-022 | 分类等级: TLP:AMBER | 发布日期: 2026年7月1日 | 情报来源: 多源交叉验证（OSINT + Symantec + Trend Micro + Zscaler + Arete Institute + SentinelOne + Unit 42 + The DFIR Report + GBHackers）

一、执行摘要

Trigona（Trend Micro 追踪代号：Water Ungaw，Symantec 追踪代号：Rhantus）是2022年6月首次出现的勒索软件即服务（RaaS）组织，以双重勒索模式和内核级防御瘫痪工具著称。该组织由 Symantec 命名为"Rhantus"的网络犯罪团伙运营，向关联成员提供 20%–50% 的收益分成。

Trigona 与 CryLock/Cryakl 在 TTPs 上高度重叠，并与 ALPHV/BlackCat 存在管理层面协作关系——利用 ALPHV 的声誉和数据泄露站点作为对受害者的施压手段。2023年10月，亲乌克兰黑客组织 Ukrainian Cyber Alliance (UCA) 攻陷了 Trigona 的数据泄露站点，使其运营一度停滞。然而，2026年初该组织以升级的战术重新活跃，包括自研数据窃取工具 uploader_client.exe 和大规模 BYOVD 攻击。

关键发现

维度关键指标
组织规模政府机构占受害者21.4%（最高）
首要目标土耳其（23.5%）、菲律宾（19.6%）、巴西（13.7%）
加密方式AES-256（OFB模式）+ RSA-4,112
编程语言Delphi（Windows版本）
商业模式RaaS（20-50%分成）
关联组织CryLock/Cryakl（TTPs重叠）、ALPHV/BlackCat（管理协作）
技术创新自研 uploader_client.exe、BYOVD 多驱动、数据擦除器功能
支付方式Monero（XMR），TOR 谈判门户
解密可能性不存在（无公开解密工具）
当前状态活跃（2026年初重新活跃）

威胁等级评估

评估维度等级说明
技术能力🔴 极高Delphi编写、RSA-4112、BYOVD多驱动、自研窃取工具、数据擦除器
运营成熟度🔴 极高RaaS模式、ALPHV协作、公开泄露站（倒计时+竞价）
攻击规模🟠 高政府机构21.4%（最高行业占比）
目标针对性🔴 极高政府/教育/制造/医疗/法律/金融
数据泄露风险🔴 极高双重勒索 + 公开泄露站 + 数据擦除器

二、威胁行为者画像

2.1 组织标识

属性值
官方名称Trigona
别名Water Ungaw（Trend Micro）、Rhantus（Symantec）
组织类型RaaS（20-50%分成）
活跃周期2022年6月 – 至今（2023.10 UCA打击后2026年初重新活跃）
编程语言Delphi（Windows版本）
地理归属俄语地区（推断）
攻击目标全球（土耳其/菲律宾/巴西为主）
动机经济利益

2.2 关联组织

┌──────────────────────────────────────────────────────┐
│           Trigona 关联组织网络                          │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────────┐                                  │
│  │ Trigona 核心     │ Water Ungaw / Rhantus           │
│  │（RaaS 提供者）    │ Delphi 编写                     │
│  └────────┬────────┘                                  │
│           │                                            │
│           ├──→ CryLock / Cryakl                        │
│           │    TTPs 高度重叠                            │
│           │    勒索信文件名和通信邮箱相似                │
│           │                                            │
│           ├──→ ALPHV / BlackCat（管理协作）             │
│           │    利用 ALPHV 声誉和泄露站施压              │
│           │                                            │
│           └──→ BlackNevas（衍生）                       │
│                Trigona 代码衍生变体                     │
│                                                        │
└──────────────────────────────────────────────────────┘

三、归因分析

3.1 地理归属

证据类型详情置信度
RAMP 论坛从 RAMP 内部聊天购买凭证高
工具链HRSword/PCHunter 等俄语工具中-高
UCA 打击亲乌克兰组织攻陷其泄露站中

四、技术能力评估

4.1 加密方案

属性值
对称加密AES-256（OFB 模式，无填充）
非对称加密RSA-4,112
配置加密双层 AES-CBC
加密范围默认仅加密文件前 512KB（0x80000字节），/full 参数可加密全部
文件扩展名._locked
擦除扩展名._erased
勒索信how_to_decrypt.hta（HTA格式，内嵌 JavaScript）
编程语言Delphi

4.2 数据擦除器功能

┌──────────────────────────────────────────────────────┐
│           Trigona 数据擦除器功能                       │
├──────────────────────────────────────────────────────┤
│                                                        │
│  /erase 参数：                                         │
│  ├── 用 NULL 字节覆写文件（默认前512KB）               │
│  ├── 结合 /full 可覆写全部内容                         │
│  ├── 重命名为 ._erased 扩展名                          │
│  └── 删除文件                                          │
│                                                      │
│                                                      │
│  组合逻辑：                                          │
│  ├── 先加密（._locked）后擦除（._erased），双重施压  │
│  ├── 擦除使常规恢复工具失效，加大谈判压力            │
│  └── 部分场景仅对非生产文件演示擦除，制造不可逆假象  │
│                                                      │
└──────────────────────────────────────────────────────┘

4.3 勒索信与执行特征

  • 勒索信 how_to_decrypt.hta 以 HTA 形式内嵌 JavaScript，直接展示赎金金额与倒计时
  • 与 ALPHV/BlackCat 泄露站协作：数据公示与施压复用第三方平台声誉
  • Delphi 编写的单体载荷，执行后不落地额外组件，行为高度集中

五、防御建议

5.1 检测要点

  • HTA 文件执行与 ._locked/._erased 扩展名批量变更
  • 加密器仅处理文件前 512KB 的特征：大文件局部读写 + 顺序遍历磁盘
  • 删除卷影副本与备份目录访问

5.2 缓解与响应

  • 因存在"仅前 512KB 加密"模式，未加 /full 时专业恢复存在部分挽回空间——先鉴别加密模式再决定响应路径
  • 备份离线/不可变双轨；对数据擦除类攻击，付款也无法取回被 /erase 覆写的文件

六、总结

Trigona 是"小而狠"的 RaaS 样本：载荷精简（Delphi 单体、前 512KB 快速加密），但把内核级防御瘫痪与数据擦除做成标配，并借用 ALPHV 的泄露站完成施压闭环。其技术取舍透露运营逻辑——牺牲彻底性换取加密速度与恐吓上限。防御价值集中在两点：识别 /full、/erase 参数组合以评估真实损失面，以及把"擦除演示"与"真实擦除"区分开，避免在谈判中被恐吓定价。

（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）

本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。