RansomHub勒索软件集团：深入分析

RansomHub 是一个新兴的勒索软件团伙，在 2023 年 12 月 FBI 打击 ALPHV 勒索软件行动后崛起，并被认为是 ALPHV 的“精神继任者”。截至 2024 年 8 月 22 日，RansomHub 已攻击全球 190 个受害者，其中 50% 的攻击发生在 7 月和 8 月，显示出显著的操作升级。

核心观点与关键数据：

1. 运营模式：RansomHub 采用 Ransomware-as-a-Service (RaaS) 模型，要求附属机构遵守协议，附属机构获得 90% 的赎金，核心团伙获得 10%。其定价高于市场平均水平（80-70%），吸引经验丰富的附属机构，导致攻击数量激增。
2. 受害者分析：
   • 支付率：160 个受害者拒绝支付，30 个仍在谈判，仅 11.2% 支付赎金。
   • 地理分布：美国（66 个）和巴西（17 个）是主要目标国家，商业服务行业（45 个）受影响最大。
   • 公司规模：受害者平均收入约 4440 万美元，但 84% 的受害者收入低于 1000 万美元，60% 的受害者员工数少于 100 人。
3. 技术特点：
   • 勒索软件：使用 Golang 和 C++ 开发，支持 Windows、Linux 和 ESXi，加密速度快。
   • EDRKillShifter：用于禁用终端检测与响应（EDR）系统，通过 BYOVD 攻击提升权限。
   • 远程加密：2024 年 7 月更新支持远程加密，绕过管理设备的安全措施。
4. 附属机构招募：主要从俄罗斯 RAMP 论坛招募，运营者 Koley 发布更新和加入规则，要求 5000 美元押金。

研究结论： RansomHub 通过 RaaS 模型快速扩张，尽管支付率低，但依靠攻击数量实现盈利。其受害者多为中小型企业，攻击策略针对性强。未来可能成为 RaaS 领域的重要力量。

缓解措施：

• 定期备份数据。
• 加强员工安全意识培训。
• 及时更新系统和软件补丁。
• 实施网络隔离和访问控制。
• 部署端点保护和邮件网关。
• 制定应急响应计划。
• 定期进行安全审计和渗透测试。