BlackFile 勒索病毒解密与数据恢复

Google 威胁情报（GTIG）从 2026 年 1 月初开始观察到 UNC6671 的语音钓鱼行动。该团伙 2 月 6 日上线泄露站，同月正式采用 BlackFile 这个名字。到 5 月，GTIG 统计它已对北美、澳大利亚和英国的数十家机构下手。早期受害者集中在制造、医疗与保险，到 7 月转向私募基金、律所与评级机构，金融服务业是重点。

换牌：泄露站 4 月下旬下线，5 月 11 日短暂恢复并发布「BlackFile 将以这个名字关停」的声明，GTIG 判断这只是过渡而非真正停止。之后 GTIG 以中等置信度确认，同一个核心入侵团伙改用 REDACT 为主品牌，并分散到 FALCON、HELIX、PINK 等多个勒索品牌，共享的基础设施把它们串在一起，例如同一个仿冒域名 passkeyhelpdesk[.]com 同时被用来攻击一家 Falcon 受害者和一家 Helix 受害者。事件响应公司 Arete 的 9 月报告还把 Cinder 和可能的 Vortex 归入这一体系，认为它们虽自称独立但仍相互关联。

收益：2026 年 1 月到 5 月，18 个 BlackFile 钱包共收到 141.65 枚比特币（约 1069 万美元），关停声明之后仍有付款进账。开价通常在 100 万到 300 多万美元，谈判中往往降 50% 到 75%，在一半以上有记录的案例里，最终支付额平均约 75 万美元。

与 ShinyHunters 的关系：GTIG 在 5 月的报告中明确判断两者的行动是独立的。UNC6671 至少有一次冒用 ShinyHunters 的名号来增加威胁的可信度，但它有独立的 Tox 联络渠道、独特的域名注册模式和自己的泄露站。早在 1 月的报告里，GTIG 就指出 UNC6671 的手法虽与 ShinyHunters 体系下的 UNC6661 高度相似，但勒索邮件不带品牌、Tox ID 也不同，「可能是另一批人」。

BlackFile 不加密文件，没有后缀和勒索信文件。可以从以下迹象识别：

入侵阶段：

• 员工个人手机接到自称公司 IT 或服务台的电话，理由是「必须迁移到通行密钥（passkey）」或「必须更新多因素认证」，近期还会伪造真实的服务台号码；
• 对方引导员工打开带公司名的子域名，常见的根域名模式有 enrollms[.]com、passkeyms[.]com、setupsso[.]com 一类，多在 Tucows 注册；
• 员工输入口令并批准 MFA 后，账号的安全设置里立刻多出一个陌生的 MFA 设备。

数据导出阶段：

• 从 Microsoft 365 或 Okta 的单点登录面板进入 SharePoint、OneDrive、Zendesk、Salesforce 等应用，检索「confidential」「SSN」一类关键词；
• 统一审计日志里出现 python-requests 或 WindowsPowerShell 的 User-Agent，ClientAppId 却伪装成 Microsoft Office；
• 由于直接请求文件，下载往往被记成 FileAccessed 而不是 FileDownloaded，单看「下载」事件会严重低估；GTIG 记录过单次导出超过一百万个文件的案例。

勒索阶段：勒索信可能从你们自己被劫持的内部邮箱或 Teams 账号发出，联系方式为 Session，期限 72 小时。

入口全靠社会工程：没有漏洞利用，也不需要恶意软件落地。攻击者打员工的个人手机，绕开公司的安全工具和正规支持渠道，以「通行密钥迁移」「MFA 更新」为由，把员工引到带公司名的仿冒登录页。

实时截取 MFA：仿冒页面是中间人（AitM）钓鱼套件，员工输入的口令被实时转交给真正的单点登录服务，员工批准 MFA 推送后，攻击者立即在安全设置里注册自己的 MFA 设备，实现持久访问。

横向与导出：拿到 Microsoft 365 或 Okta 账号后登录单点登录面板，所有挂在该账号下的云应用都能进入。导出用 Python 与 PowerShell 脚本、Microsoft Graph API 和复用的会话 Cookie（如 FedAuth），走商业 VPN 与托管基础设施。

Arete 还记录了 Helix 品牌使用 ClickFix 诱饵诱导执行 PowerShell 载荷，说明这个体系的不同品牌在入口上也有差异。

GTIG 的报告与后续报道都没有记录 BlackFile 或其后续品牌部署加密器，这是一个纯窃密勒索行动。它的泄露站通常只放出少量样本和目录清单，GTIG 至今没有看到它完整公开过受害者数据。

没有加密不代表伤害小：攻击者握有的是云端的业务文件、合同与个人信息，还会通过骚扰员工、轰炸邮箱、威胁高管来加压。