暗網(wǎng)，作為互聯(lián)網(wǎng)的一部分，充滿了神秘而又復(fù)雜的活動(dòng)。更重要的是，其背后的主要參與者——商業(yè)黑客和各種有組織的犯罪集團(tuán)，揭示了這是一個(gè)怎樣的世界。本報(bào)告將試圖帶您了解這些原住民的身份、行為方式、商業(yè)邏輯、受害者以及他們構(gòu)建的獨(dú)特生態(tài)。

在一些APT XX黑客組織的分析報(bào)告中，我們已經(jīng)了解到部分以政治背景為主的黑客組織，而活躍在暗網(wǎng)中的商業(yè)黑客組織，則更加自由和龐大，他們與政治黑客有著截然不同的行為邏輯，由于其龐大的基數(shù)、頻繁的活躍度、逐利的商業(yè)行為，對(duì)政府、社會(huì)和企業(yè)造成的直接危害也更加嚴(yán)重。

商業(yè)黑客組織廣泛地在暗網(wǎng)中活動(dòng)，他們通常是技術(shù)嫻熟的個(gè)體和團(tuán)體，具備高超的計(jì)算機(jī)技能和網(wǎng)絡(luò)滲透能力。他們的目標(biāo)通常是獲取利益，通過(guò)非法手段獲取并利用有價(jià)值的信息，如個(gè)人身份信息、財(cái)務(wù)數(shù)據(jù)、商業(yè)機(jī)密等。商業(yè)黑客組織在暗網(wǎng)中可以找到其他同行，并通過(guò)網(wǎng)絡(luò)論壇、市場(chǎng)、私人拍賣行等進(jìn)行交流和交易。

(資料圖)

他們的商業(yè)邏輯其實(shí)與正規(guī)商業(yè)在某種程度上有著相似性。他們需要找到買家，需要營(yíng)銷他們的商品或服務(wù)，需要處理交易，并在競(jìng)爭(zhēng)激烈的環(huán)境中生存下來(lái)。與此同時(shí)，這些活動(dòng)通常在加密的、隱藏的網(wǎng)絡(luò)環(huán)境中進(jìn)行，避免被法律追究。

關(guān)于他們的行為方式，商業(yè)黑客組織采取了許多手段來(lái)實(shí)現(xiàn)他們的目標(biāo)。這些手段包括網(wǎng)絡(luò)攻擊、惡意軟件分發(fā)、釣魚攻擊等。與政治背景的黑客組織的不同點(diǎn)在于，他們普遍不常使用代價(jià)高昂的通用型0day，而以相對(duì)低廉的開(kāi)源情報(bào)、勒索軟件、事件型0day、1day exp、釣魚、社工、影子資產(chǎn)、配置缺陷和配置文件泄露等組合手段作為主要攻擊方式。

商業(yè)黑客組織的商業(yè)邏輯建立在利益最大化的基礎(chǔ)上。他們通過(guò)黑客攻擊獲取有價(jià)值的數(shù)據(jù)，然后以各種方式變現(xiàn)。這可能包括出售數(shù)據(jù)給其他犯罪分子、勒索受害者、進(jìn)行網(wǎng)絡(luò)釣魚活動(dòng)、進(jìn)行非法交易或以其他方式獲得經(jīng)濟(jì)利益。

在談到受害者時(shí)，商業(yè)黑客組織的行為影響范圍廣泛。他們可能以某個(gè)群體為目標(biāo)，盜取其身份信息或財(cái)務(wù)數(shù)據(jù)。也可能瞄準(zhǔn)某些組織，竊取商業(yè)機(jī)密、客戶數(shù)據(jù)或進(jìn)行勒索活動(dòng)。受害者的范圍涵蓋了個(gè)人、企業(yè)、政府機(jī)構(gòu)等各個(gè)層面。

這樣的分析可以幫助我們更好地理解暗網(wǎng)中的數(shù)據(jù)泄露問(wèn)題，并為未來(lái)采取措施提供有價(jià)值的參考。

根據(jù)零零信安0.zone開(kāi)源情報(bào)平臺(tái)基于十余萬(wàn)情報(bào)源采集到的數(shù)據(jù)分析可知，目前全球活躍在暗網(wǎng)中的商業(yè)黑客組織約在數(shù)百個(gè)左右，黑客（無(wú)法確認(rèn)是個(gè)人還是組織形式）約在數(shù)十萬(wàn)量級(jí)。

當(dāng)前監(jiān)測(cè)結(jié)果，仍處于活躍狀態(tài)（至2023年Q2持續(xù)活動(dòng)），且“發(fā)布”（勒索）總數(shù)量大于100件的商業(yè)黑客組織有14個(gè)（活躍的商業(yè)黑客組織總數(shù)量約100個(gè)左右）。值得特別說(shuō)明的是，“發(fā)布”出來(lái)的，是勒索失敗的“項(xiàng)目”（下文將特別說(shuō)明和分析勒索成敗的話題），以下為TOP組織的列表：

以上TOP級(jí)商業(yè)黑客組織活躍度和活躍期如下圖所示（由于本報(bào)告寫于2023年7月中旬，本月統(tǒng)計(jì)數(shù)據(jù)會(huì)比實(shí)際數(shù)據(jù)偏?。?/p>

商業(yè)黑客組織的生命期和活躍期參差不齊，依據(jù)分析結(jié)果，普遍活躍期在1-3年，之后會(huì)進(jìn)入蟄伏期或解散。本期分析的商業(yè)黑客組織，在2021年下半年和2022年下半年有兩次啟動(dòng)/復(fù)活爆發(fā)期。

由于Lockbit3活躍度遠(yuǎn)高于其他組織，如將其隱藏并集中分析爆發(fā)期內(nèi)（從2021年下半年至今）的組織，即可得到如下圖示：

以上統(tǒng)計(jì)中，由于只統(tǒng)計(jì)了總量大于100“發(fā)布”的組織，所以并未包含最近3個(gè)月內(nèi)新崛起和活躍的商業(yè)黑客組織，例如：akira、medusa、rhysida、snatch、qilin等數(shù)十個(gè)組織。

近2-3年以來(lái)，商業(yè)黑客組織的趨勢(shì)：

1.單一組織的“發(fā)布”數(shù)量呈減少趨勢(shì)

2.整體向多元化、多組織發(fā)展

3.黑客行為和“發(fā)布”總數(shù)量在穩(wěn)步增長(zhǎng)

4.黑客行為整體目前尚未發(fā)現(xiàn)周期變化規(guī)律

以下為3份典型的攻擊留痕（已將原文翻譯為中文）：

?依據(jù)LockBit的說(shuō)辭，這次“培訓(xùn)費(fèi)”高達(dá)1000萬(wàn)美元，這正是本次“項(xiàng)目”中向受害者勒索的金額。

?依據(jù)Royal的說(shuō)辭，這次“安全服務(wù)費(fèi)”高達(dá)3000萬(wàn)美元，這正是本次“項(xiàng)目”中向受害者勒索的金額。

?依據(jù)Karakurt的說(shuō)辭，這次“咨詢費(fèi)”高達(dá)1200萬(wàn)美元，這正是本次“項(xiàng)目”中向受害者勒索的金額。

現(xiàn)在我們基于數(shù)百個(gè)商業(yè)黑客組織的具體行為邏輯和商業(yè)舉動(dòng)進(jìn)行分析，并得出如下結(jié)論：

v他們的商業(yè)模式是什么？

以敲詐勒索為主，販賣工具和定制化服務(wù)為輔。當(dāng)商業(yè)黑客組織成功入侵某個(gè)企業(yè)后，通常會(huì)通過(guò)工具或人工進(jìn)行內(nèi)網(wǎng)漫游，盡可能多的獲取企業(yè)數(shù)據(jù)，包括：設(shè)計(jì)圖紙、客戶數(shù)據(jù)、財(cái)務(wù)報(bào)表、專利文件、產(chǎn)品資料、軟件源代碼、圖片、視頻、供應(yīng)商資料、法律文件等等。有的組織會(huì)進(jìn)行文件加密，有的僅竊取文件，然后進(jìn)行敲詐勒索。

v如果不接受勒索會(huì)怎么樣？

對(duì)于進(jìn)行加密的客戶，文件會(huì)無(wú)法解密。所有竊取的文件都會(huì)被以公開(kāi)或邀請(qǐng)的形式進(jìn)行拍賣，一般情況是在黑客組織的網(wǎng)站上發(fā)布拍賣列表和時(shí)間，接受預(yù)約，并在某個(gè)專屬或私人拍賣會(huì)上進(jìn)行拍賣（線上）。對(duì)于拍賣失敗的數(shù)據(jù)會(huì)被免費(fèi)公布下載。并將此事件推送給新聞媒體。

v他們的竊取量會(huì)有多少？都竊取什么數(shù)據(jù)？

公布出來(lái)的數(shù)據(jù)量一般大約在數(shù)百GB至數(shù)TB不等，只有在從目標(biāo)企業(yè)獲取到高價(jià)值數(shù)據(jù)后他們才會(huì)“發(fā)布”，如果沒(méi)有高價(jià)值數(shù)據(jù)一般不會(huì)勒索和發(fā)布。目前尚未見(jiàn)到MB級(jí)和PB級(jí)數(shù)據(jù)被“發(fā)布”。

v他們勒索的價(jià)格是多少？是否接受談判？

從當(dāng)前掌握的情報(bào)，單純勒索軟件的勒索價(jià)格較便宜，大約從數(shù)百美元至數(shù)千美元不等；商業(yè)黑客組織的定向勒索價(jià)格一般為數(shù)十萬(wàn)至數(shù)千萬(wàn)美元不等，也有基于企業(yè)收入進(jìn)行勒索收費(fèi)的，價(jià)格約為企業(yè)年?duì)I業(yè)額的0.01%（萬(wàn)分之一）至0.05%（萬(wàn)分之五）。不接受降價(jià)談判，有的組織接受分期付款。

v勒索成功率有多少？

由于勒索成功后，黑客并不會(huì)公布，且相關(guān)企業(yè)也不會(huì)公布，該數(shù)據(jù)很難統(tǒng)計(jì)，但基于虛擬貨幣交易所可以得到的參考情報(bào)進(jìn)行分析可知成功率大約在70%-90%左右。（兩個(gè)感慨：第一，竟然有如此高比例的企業(yè)在勒索事件上認(rèn)慫；第二，這個(gè)成功率比安全公司銷售的成功率高很多）

v他們真的沒(méi)有政治傾向嗎？他們的真實(shí)動(dòng)機(jī)是什么？

以當(dāng)前掌握的情報(bào)來(lái)看，商業(yè)黑客組織大部分沒(méi)有政治傾向，但是有少部分組織有本土意識(shí)（不攻擊屬國(guó)企業(yè)）。他們的真實(shí)動(dòng)機(jī)是經(jīng)濟(jì)利益，一個(gè)成熟的商業(yè)黑客組織人數(shù)約幾十至幾百人不等，一年的收入高達(dá)幾億至十幾億美元。

此外，經(jīng)過(guò)調(diào)查，商業(yè)黑客組織雖然偶爾會(huì)出現(xiàn)在黑客論壇和暗網(wǎng)市場(chǎng)中，但是大部分情況下只會(huì)維護(hù)自己的商業(yè)圈，他們很少公開(kāi)與個(gè)人黑客保持互動(dòng)。他們通過(guò)勒索軟件和留言直接向受害企業(yè)進(jìn)行“銷售”，其事件也更加不透明，相較于論壇與市場(chǎng)中幾十美元至幾萬(wàn)美元的平均售價(jià)，其價(jià)格也更加昂貴。

另外，據(jù)已知情報(bào)，AI和自動(dòng)化對(duì)于黑客組織的影響巨大，有一部分組織已經(jīng)開(kāi)始訓(xùn)練自動(dòng)化攻擊大模型，雖然進(jìn)度未知，但如果成功必將成百倍千倍的提升其攻擊和勒索效率。也可以預(yù)見(jiàn)到，未來(lái)黑客組織的規(guī)模和特點(diǎn)趨勢(shì)將小型化、智能化、自動(dòng)化。這也必然會(huì)挑戰(zhàn)當(dāng)前我們的防御整體規(guī)劃和策略，提升我們的防御難度。

合理使用安全開(kāi)源情報(bào)，提升防御者的認(rèn)知?jiǎng)菰诒匦小?/p>

預(yù)告：Part 5 他們自稱無(wú)政府主義者，敬請(qǐng)期待。

關(guān)鍵詞：