DEF CON 33 Recon Village - Inside the Shadows Tracking RaaS Groups, Cyber Threats - John Dilgen

• 1

  RaaS組織具有企業級結構：Black Basta內部通訊顯示其組織架構完全模仿網絡安全公司，包括入侵專家（初始訪問）、經理、勒索軟體開發者、僵屍網路營運人員、基礎設施管理和R&D部門，而非散漫的黑客集合。這說明現代勒索軟體威脅已具備企業化運營能力。

• 2

  威脅戰術具高度模組化與可轉移性：Black Basta員工同時為多個RaaS組織工作（如Tinkerer同時為Black Suit服務），電郵轟炸等戰術在多個組織間傳播使用，這要求防禦必須採用深度防禦而非針對單一威脅，因為戰術與人員會跨組織流動。

• 3

  黑暗網洩露與公開招募提供可操作情報：通訊洩露揭露成員別名、工具成本（電郵轟炸服務僅$9起）、供應鏈合作關係；招募帖洗盡致細節（如Dragon Force詳細列舉自動化工具、支援的技術棧），能映射該組織能力與資源。

• 4

  法律行動與市場動態直接影響威脅演變：Lockbit在2024年2月遭執法打擊後數據洩露站點衰退；Black Basta因決定襲擊俄羅斯銀行導致內部成員洩露聊天紀錄，其成員隨後轉向Cactus等新組織，顯示威脅景觀高度動態，舊威脅消亡時新威脅快速填補真空。

• 組織與人員：
• Black Basta 領導者：Trump（又名Goroshok、GG、AA）
• 高級成員：Tinkerer（呼叫中心與釣魚專家）、Lapa（行政負責人）
• 入侵專家薪酬最低且不滿
• 成本與定價：
• Black Basta勒索軟體年度訪問權：$1,000,000+
• 電郵轟炸服務：$9/次、$500/終身授權
• 電郵轟炸日產能：100,000封電子郵件
• 主要戰術與工具：
• 初始訪問：電郵轟炸+Teams釣魚、暴力破解、購買已洩露憑證
• 偵察工具：ZoomInfo（收入數據）、Shodan（暴露服務）、Intelligence X（公司員工資訊）
• 惡意軟體：ICE ID、Pikabot、Quackbot
• 資料外洩：RClone、WinSCP、FileZilla、Curl
• 橫向移動：DLL旁加載
• 戰術演變時間線：
• 2024年4月：電郵轟炸+Teams釣魚
• 2024年10月：Teams聊天+QR碼釣魚
• 2025年1月：Teams會議控制權轉移
• 2025年2月：QMU虛擬機管理程式持久化
• 2025年3月：Telegram信標C2通訊、類型劫持持久化
• 2025年4月：SSH隧道
• 威脅組織追蹤：
• Black Basta：2022年4月首次觀察，2025年2月因襲擊俄羅斯銀行決定導致內部洩露而解散
• Dragon Force：2023年12月首次觀察，採用卡特爾模式（允許其他RaaS使用其基礎設施保留品牌），積極詆毀RansomHub與Blacklock數據洩露站點
• Lockbit：2024年2月遭執法打擊，釋出Lockbit 4.0但未能恢復市場份額
• RansomHub：Q4 2024最活躍組織，遭Dragon Force詆毀後站點離線
• Teams釣魚來源域名分布：
• microsoft.com域名最常見（深藍）
• 受入侵合法租戶（橙色）
• microsoft.com域名（淺藍，最難獲取但最有效）
• 檢測與獵捕規則：
• 日誌來源Teams、事件Teams chat created、聊天名稱包含"help desk"或"IT"
• 日誌來源proxy/Windows Event Logs、事件檔案下載或執行、檔案名稱包含"filter"或"anti-spam"
• Scattered Spider案例（製造業）：
• 冒充CFO致電幫助台重設憑證
• 幫助台重設MFA
• 威脅行為人配對攻擊控制設備與CFO MFA
• 冒充域管理員進行第三次電話
• 入侵Okta與Backstory身份管理租戶
• 憑證傾印與資料外洩

“現代勒索軟體威脅已演變為企業級、高流動性的生態系統，防禦需從戰術中心(而非組織中心)出發，整合黑暗網情報、通訊分析與事件遙測，在威脅進化的各環節構建多層防禦與獵捕規則。”