依托 Solar 安全运营响应团队的日常实战沉淀，我们会定期分享在安全运营中处置的典型应急响应事件，涵盖银狐木马、APT 攻击、勒索病毒等各类主流威胁。 作为专业的应急响应中心，Solar 致力于为复杂多变的安全事件提供从深度溯源到闭环处置的全流程支持。针对银狐、APT 等具有高隐蔽性的威胁，我们不仅聚焦于对其攻击行为的深度剖析，更致力于还原其完整的活动链路，并同步输出切实可行的清除闭环操作方案。 突发危机干预通道： 若您的核心资产正面临加密锁定或数据勒索风险，请通过文末二维码联系我们。我们提供全天候紧急介入服务，协助您快速切断攻击链路，全力挽回业务损失。
7月14日。
在 DragonForce 暗网主页。短短几个小时里，这个勒索组织在其暗网泄露站点上接连挂了四条公告，目标全是国内科技与制造企业，涉及数据总量超过 1.4TB。
四家企业，四个赛道：汽车电子、自动驾驶、精密测量、通信设备。公告里对企业的业务描述非常准确，不是抄的官网简介，是连产品线型号、客户群体、供应链关系都清楚的专业描述。
四家企业，各自什么情况
以下均使用代称，避免对涉事企业造成二次影响。
目标甲：汽车电子方案商
数据量：540.31 GB
公告里写的是"快速增长的中国汽车电子解决方案提供商"，专攻新能源、车身控制、安全系统和动力传动部件。客户名单里有主流车企和一级供应商。
这类企业的核心资产是什么？电路设计图、物料清单、供应商报价、客户技术协议。540GB 的数据里，这些东西大概率跑不了。更麻烦的是，这家企业港股已经上市， 按照港股的上市公司规定管理法，要披露信息，披露信息就会造成不良影响且影响股价。
勒索公告对企业业务定位的描述极为精准
目标乙：自动驾驶技术公司
数据量：379.18 GB
这条公告的措辞很不客气："All source code, financial documents, configuration files, employee database, and more were stolen. Servers and workstations were encrypted."，源代码、财务文件、配置文件、员工数据库，一锅端。
这家公司是国内自动驾驶领域的头部玩家之一，累计获得超过180款车型定点，量产搭载量超73万台，目前已在港股上市。源代码里包含的感知算法、决策规划模型、高精地图处理逻辑，是吃饭的家伙。一旦泄露，竞争对手可以直接分析技术路线，甚至从中找到安全缺陷。
公告明确提到源代码和财务文件全部被盗，措辞直接
目标丙：精密3D测量技术公司
数据量：119.49 GB
公告里准确列出了这家公司的核心产品线，GOM ATOS 3D扫描仪、工业CT系统、3D打印设备，还有它是ZEISS授权分销商的身份。这家公司成立快三十年了，在大中华区有多个服务中心，客户覆盖汽车、航空航天、医疗器械。
119GB 对一个设备销售+技术服务型企业来说不算小了。里面可能有客户测量数据、设备校准参数、售后服务记录、渠道价格体系。更致命的是，它的客户名单本身就是情报，谁买了工业CT，说明谁在造高精度零部件。
攻击者对产品线的描述细致到具体型号，说明事前做过情报收集
目标丁：通信设备制造商
数据量：392.96 GB
公告描述：制造网络语音通话（VoIP）产品，包括IP电话和IP程控交换机系统，提供自建、云端、呼叫中心和企业级Wi-Fi语音通话方案。公司位于上海，产品销往80多个国家和地区。
通信设备商的固件代码、配置模板、客户部署方案一旦泄露，下游客户的通信系统也可能跟着遭殃。攻击者完全可以利用固件里的缺陷，把勒索的触角从这些设备延伸到更多目标。
勒索公告精准描述了企业提供的具体解决方案类型
放在一起看
四起事件的目标选择有个明显的规律：产业链上下游关联。汽车电子（智能网联）→自动驾驶（AI算法）→精密测量（质量检测）→通信设备（网络基础设施），刚好串成一条智能制造的完整链路。
到底是巧合还是刻意挑的，我们没法下定论。但有一点是确定的：DragonForce的情报收集能力，是受到过专业训练的勒索组织。
DragonForce 到底是什么来头
这个组织 2023年8月首次出现，属于"勒索软件即服务"（RaaS）模式。但跟其他同类组织不同的是，它从诞生起就带着"公司化运营"的方向。
截至 2026年6月，已声称 579个确认受害者。2026年第一季度就发布了101个，比2024年第四季度涨了29%。Check Point的数据显示，2026年1月10个受害者，2月35个，3月56个，增速曲线很陡。
Dragonforce勒索家族攻击分布情况（数据来源：Solar威胁情报平台）
两套勒索软件并行
DragonForce手里有两张牌：
一张是LockBit 3.0的变种：基于泄露的LockBit构建器改的，保留了快速加密和多平台支持
一张是自家的版本：基于Conti V3代码修改，加入了"自带漏洞驱动"（BYOVD）技术，能主动干掉终端检测与响应（EDR）软件
附属成员可以根据目标环境挑用哪个版本，还能自定义加密范围、文件后缀、勒索信内容。
"卡特尔"重新包装
2025年3月，DragonForce宣布转型为"勒索软件卡特尔"模式，允许附属成员打自己的品牌，共享DragonForce的基础设施和工具。听起来很唬人，本质上就是白标服务。
但Check Point的调查认为，所谓的"卡特尔"大多是营销包装。它声称的子品牌里，Devman分裂出去后受害者从82个掉到25个；Coinbase Cartel被Bitdefender关联到ShinyHunters运营；Obscura总共也就20个左右的受害者。真正由DragonForce核心团队运营的，始终是其主品牌。
谈判桌对面的人
大多数勒索组织的谈判页面，就是给一个暗网聊天链接和一个比特币地址，聊得差不多了就威胁你。DragonForce在这方面做得出奇地规范。
一个带FAQ的谈判页面
进入它的受害者沟通页面，左侧是实时聊天窗口，右侧是一整份常见问题解答（FAQ）。
谈判页面设计精良，右侧FAQ详细解答了从"怎么付钱"到"你们会不会骗我"的各类问题
聊天窗口顶部标着 PRIVATE SESSION 和唯一的32位会话ID，受害者得保存好这个ID才能重新进来。右上角有两个按钮：TEST DECRYPTOR（测试解密）和 PUBLICATION（数据发布状态）。页面底部实时显示倒计时："13 DAYS 08:01:57 UNTIL DEADLINE (44.4489%)"，时间压迫感拉满。
FAQ的内容很有意思，我们完整摘录如下：
F.A.Q.
Q: How to access this chat again?
R: Please backup full (32 char) ID string, that's your private session,
use it on login page.
Q: What do you have?
R: We have data obtained from your network and we have encrypted your computers.
Q: What should we do?
R: Negotiate, pay and restore your data.
Q: How?
R: You can do this yourself, or use the services of intermediary companies
of your choice.
Q: How we should pay?
R: We're accepting BTC for payments. When we agree to payment, we'll provide
2 BTC addresses with amounts which can be accessed via BUY DECRYPTOR button.
First payment is 80% affiliate, second payment is 20% DragonForce comission.
Two correct payments is required, don't use direct addresses from messages,
oversended funds can't be refunded!
Q: How does this work?
R: You contact us and receive a list of files we have. We provide 1-3 medium-sized
files at your request to verify that this list is real. We can decrypt 1-3 files
of yours from encrypted computers to demonstrate that this is real. In both cases,
critical files cannot be used. Next, you receive payment details and pay.
After payment you receive programs and instructions for recovery. If necessary,
a description of the incident procedure can be obtained to prevent its recurrence.
If you wish, you can retrieve your files from our servers before they are deleted,
or we will delete them immediately.
Q: We don't believe you! You will not delete our data! You will harm us by
using them after payment!
R: We are not involved in industrial espionage or other similar activities.
Our work is built on our reputation. Only we know about the incident, and if
after successful negotiations there is a leak on our part, this will complicate
our further work.
Q: Then why should we pay? We will restore what we can and continue to work.
R: If negotiations fail, all information about the incident will be made public.
This will be done widely, openly and completely free of charge. Anyone can
download this data and use it as they wish. A trade secret will no longer be
a secret. Work with counterparties will become public. GDPR, CCPA and other
laws will be violated when working with clients, and you had been notified of this.
Q: Why do this? This is not beneficial for you. Let's just pay you the amount
you could sell the data for, and that's it.
R: We do not sell data, do not engage in industrial espionage, etc. Therefore,
the amount is not determined by how much this data could be sold privately.
Data on incidents for which negotiations ended in failure are published
completely free of charge and without restrictions, to serve as an example
that we keep our word in subsequent negotiations.
Q: We noticed in your blog information about a company that interests us.
Do you have any unpublished data on it? Or data on other companies in this area?
We'll pay you well.
R: We are not involved in industrial espionage or anything like that. All data
on incidents with successful negotiations are completely destroyed, and
information about them is private. All data on incidents involving unsuccessful
negotiations have been published in full.
Q: What about the discount?
R: The maximum allowable discount is 45% of the amount quoted to you, in case
the company does not understand, first we make a blog post and set a time,
then we publish the data and remove the decryptor from our servers.
这份FAQ的话术设计
逐条读完，你会发现DragonForce在心理博弈上花了不少心思：
第一，先让你信。 免费提供测试解密和文件清单验证，让你确认两件事：他们确实拿走了数据，也确实能解密。这是打消"付了钱也白搭"顾虑的标准操作。
第二，把自己和"卖数据的"切割开。 反复强调"我们不搞工业间谍""数据不卖只销毁或公开"，试图塑造成一个有"职业操守"的勒索者。逻辑核心是：我们是收保护费的，不是抢生意的。
第三，支付流程设计得很讲究。 比特币分两次付，第一次80%给具体干活的人，第二次20%给平台。这样干活的先拿到大头，有动力好好谈；平台也能绑定利益，防止跑单。
第四，折扣策略是阶梯式的。 最大允许的折扣是报价金额的 45%（即减免45%）。如果公司还是不明白（不配合付款），他们会先发一篇博客帖子并设定倒计时，随后公布数据，并从服务器上删除解密器。
第五，把通用数据保护条例（GDPR，欧盟法规）和加州消费者隐私法案（CCPA，美国加州法规）搬出来。 这招对有海外业务的企业特别管用，数据泄露不只是商业损失，还可能触发监管罚款。对某些行业来说，这个威胁比数据本身的价值还大。
说白了，DragonForce把每一次勒索都当成一次"交易"来运营，目标很明确：减少摩擦，提高成交率。
攻击入口：边界是怎么被打穿的
DragonForce的攻击手法不花哨，但足够实用。根据我们多次溯源的经验，它的典型入侵链路是这样的。
初始访问：三条主要路径
横向移动：隐蔽而高效
SystemBC代理木马构建网络隧道，绕过防火墙
Cobalt Strike（一款市面上有售的渗透测试框架，被广泛滥用）实现持久化的远程控制通信
Mimikatz（一款开源凭据提取工具）偷账号密码，配合网络扫描工具快速摸清域环境拓扑
通过域登录或文件共享会话横向扩散
提权与防御规避：自带漏洞驱动的降维打击
DragonForce最头疼的技术是它的自带漏洞驱动（BYOVD）攻击。操作步骤：
把带合法数字签名但有已知内核漏洞的驱动程序（如truesight.sys、rentdrv.sys）放到磁盘上
利用系统对合法签名驱动自动加载的信任机制，把它塞进内核
通过发送恶意控制指令，利用驱动漏洞直接读写内核内存
切断终端安全软件与内核的通信链路，让防护体系彻底失明
这招的可怕之处在于：它打的是信任机制，不是漏洞本身。安全软件靠内核回调获取系统行为数据，BYOVD直接从内核层切掉这条链路，相当于把监控摄像头拆了还不会报警。
数据窃取与加密：双重施压
加密之前先偷数据。为了绕过数据防泄漏系统，它刻意使用合法工具传输：
通过标准加密的文件传输工具和云同步工具传输数据
启动网页分布式创作与版本管理服务器配合克隆凭据直接推送
部分案例里通过安全 shell 协议把数据发到位于俄罗斯的托管节点
加密用的是ChaCha20流加密配合RSA非对称加密的双重方案，根据文件类型和大小差异化处理：
| 文件类型 | 加密策略 |
|---|---|
| 数据库文件（.sql、.mdf、.db等） | 全文件加密（100%） |
| 虚拟机文件（.vmdk、.vhd等） | 部分加密（20%） |
| 小文件（不超过1MB） | 全加密 |
| 中等文件（1MB到5MB） | 只加密头部 |
| 大文件（超过5MB） | 分5段条状加密，总共50% |
文件名会被编码后追加".dragonforce_encrypted"后缀，每个文件独立密钥，解密难度极大。
组织的另一面：横幅、招募
DragonForce在勒索圈子里算是比较高调的。这种高调不只是发受害者多，而是真的在做品牌运营。
迈阿密上空的横幅
2025年5月上旬，DragonForce在美国佛罗里达州迈阿密租用飞机，空中拖曳一条实体横幅：
"IS ALMOST HERE! HAVE YOU BEEN WAITING FOR US?"
"即将到来！你一直在期待我们吗？"
DragonForce在迈阿密上空用飞机拖曳横幅进行"线下公关"，横幅内容极具挑衅意味
这段视频后来被发布在DragonForce的官方博客DragonNews上，配文"Welcome, Miami!"，附带一张飞机穿过云层的高清照片和数字签名。这是勒索软件历史上首次有组织地把暗网活动延伸到物理世界的公关事件，标志着这类组织的竞争策略进入了一个更嚣张的阶段。
从营销角度分析，这个动作的目标受众不是受害者，是潜在附属成员。在地下生态里，附属成员选平台很大程度上看"声势"和"可靠性"。迈阿密的横幅就是一则招聘广告：我们有钱、有胆量、有执行力，来加入我们。
公开招募"供应商"
同一时期的博客里，DragonForce发了一则名为**"Suppliers - sale or provision of access for a percentage!"**的公告，公开招募能提供企业网络访问权限的"供应商"。
DragonNews博客页面，可见"Welcome, Miami!"和"Suppliers"招募两则帖子
运作模式：有目标网络初始访问权限的攻击者，把访问权限卖给DragonForce的附属成员，按赎金分成结算。DragonForce负责提供基础设施、勒索软件构建器、谈判支持和数据泄露站点，供应商只管"开门"，附属成员负责"洗劫"。
这种分工模式进一步降低了参与勒索攻击的门槛，你不用会写勒索软件，不用会谈判，甚至不用会横向移动，只要拿到一个虚拟专用网络账号或者一个远程桌面凭据，就能分一杯羹。
一个勒索"工厂"的内部
通过对其后台管理界面的分析，可以看到DragonForce的运营体系是怎么支撑起这么高频的攻击输出的。
受害者管理后台
后台的"客户"模块记录了每个受害者的详细信息：赎金金额与状态（已支付/谈判中/拒绝支付）、负责的附属成员ID、数据泄露规模与发布状态、受害者最后访问谈判页面的时间、博客公告发布倒计时。
勒索软件构建器
附属成员可以通过网页界面自定义勒索软件样本，可选配置包括：目标公司网址和年收入（用于动态定价）、测试解密开关、赎金支付时间范围、加密比例、文件扩展名、加密范围（全系统加网络/仅本地路径）、终止安全软件的驱动选择、排除的文件/文件夹列表。
这种高度可配置化的设计，让附属成员能根据目标环境"量身定制"攻击载荷，对有钱的大企业全开加密施加时间压力，对中小企业只加密关键业务目录快速完事。
"数据审计"增值服务
2025年8月，DragonForce推出了**数据分析服务，**对窃取的超300GB数据集进行自动分析，识别最有价值的信息（财务记录、客户名单、知识产权、合规敏感数据），用于谈判中精准施压。收费是赎金的0%到23%。
本质上是把数据泄露威胁产品化。以前勒索组织只威胁"我要公开你的数据"，现在能精确告诉受害者"我手里有你2024年Q4的财务报表、你最大的三个客户的合同、你们内部关于产品缺陷的邮件"。这种精确打击的威慑力，远大于模糊的"我要曝光你"。
Dragonforce勒索家族数据发布页面
我们能做什么
面对DragonForce这种组织化、商业化运作的勒索攻击，传统的"装个杀毒软件就万事大吉"已经不够用了。以下是我们多次处置此类事件的经验总结。
1. 缩小暴露面
对所有面向互联网的资产（虚拟专用网络、远程桌面、邮件网关、管理平台）清点一遍，不需要的关掉
远程桌面严禁直接暴露在公网，必须经虚拟专用网络或零信任架构接入
远程管理工具（如SimpleHelp、TeamViewer等）及时更新到最新版本，这类工具正成为新的攻击热点
定期进行互联网暴露面测绘：对公司及子公司开放的资产暴露面进行定期梳理，严防个人行为私开服务至互联网
2. 管好身份和访问
所有远程访问强制开多因素认证，尤其是特权账号
定期审计高权限账号，清理长期不用或权限过大的
对管理员登录行为建立基线，异常时间/地点登录触发告警
3. 网络分段与监控
关键业务系统（域控、数据库、文件服务器）与其他区域做隔离
在核心网段部署流量分析，对横向移动、大量数据外传等异常行为实时告警
特别关注**合法工具的外传流量，**攻击者越来越多地使用正常渠道偷数据
4. 终端防护加固
部署支持内核级防护的终端安全产品，确保在自带漏洞驱动攻击下仍能保留基本监控能力
启用驱动签名策略，限制非必要驱动的加载
定期审查系统中已加载的驱动列表，关注异常签名驱动
部署思而听防勒索 AI 疫苗（SAR）进行针对性防护
目前，我们已成功提取该变种的最新加密器样本，后续将为大家更新详细的逆向工程分析报告。同时，关于该勒索家族近期的相关 IOC（失陷标示）情报，我们也已同步至Solar威胁情报平台。
针对该变种及类似家族的高频打击，思而听防勒索 AI 疫苗（SAR）目前已支持对该家族底层加密密钥的动态捕获，能够在勒索主体尝试加密的瞬间实现毫秒级精准解密，实现快速恢复数据、无需缴纳赎金。
思而听防勒索 AI 疫苗（SAR）成功捕获该勒索家族密钥并实现密钥捕获
思而听防勒索 AI 疫苗（SAR）根据捕获的密钥进行数据恢复
5. 备份与恢复
核心数据实行**3-2-1备份原则，**3份副本、2种不同介质、1份离线保存
备份系统的访问凭证必须与生产环境隔离，避免"一锅端"
每季度做恢复演练，确保备份数据能用、恢复时间可控
6. 勒索攻击专项预案
制定明确的响应流程：谁决策、谁联络、谁负责技术处置、谁对接外部机构
提前准备好法律顾问、公关团队和威胁情报服务商的紧急联系方式
明确"是否支付赎金"的决策标准和审批流程，别在凌晨三点被叫醒时临时做这个决定
我们的实战经验
Solar应急响应团队在过去一年中已多次处置DragonForce家族的勒索攻击事件，覆盖从中型企业到大型制造业集团的多种场景。我们的处置闭环通常包括：
应急止血：7×24小时快速响应，第一时间隔离受感染主机，阻断横向移动链路，遏制攻击扩散。
溯源分析：通过对加密样本、内存镜像、网络流量和日志的交叉分析，还原完整攻击链路，识别初始入侵点和数据外发范围。DragonForce的攻击虽然技术手段成熟，但日志清理并非无懈可击，通过细致的取证分析，我们通常能定位到入侵的源头和时间线。
系统恢复：在确认备份未被污染的前提下，协助客户完成业务系统的恢复重建，并对恢复后的环境进行安全加固。
加固运营：基于事件暴露的安全短板，协助客户建立或优化安全运营体系，包括终端安全部署、网络分段、日志监控、定期演练等，降低再次遭受类似攻击的风险。
安全的本质不是不被打穿，而是被打穿之后能快速止血、精准溯源、扎实恢复，并从中汲取教训让下一次更难被打穿。
如果您的核心资产正面临加密锁定或数据勒索风险，欢迎通过文末方式联系我们。Solar应急响应团队提供全天候紧急介入服务，协助您快速切断攻击链路，全力挽回业务损失。
文章输出与优化：州弟学安全
情报简报整理：Moir
排版优化：超级油麦
在企业日常的安全运维中，突发勒索病毒往往让人措手不及。遇到这种情况，正确的应急响应流程能够最大程度控制影响范围、降低数据损失。
这里为大家准备了一张完整的《勒索病毒应急处置指南》长图，建议各位安全从业者和IT运维人员收藏备用。如遇突发情况，请保持冷静，参考本图进行快速、规范的处置
附加资料下载： 防御与响应同样重要。扫描图末的二维码，还可以直接获取完整的《2025年勒索病毒年报》以及《勒索处置一体化》等专业文件，帮助大家深入了解当前的威胁趋势，提前做好防御规划。
安全无小事，掌握科学的处置流程，是我们应对突发安全事件最有效的武器。
