Hunters International 勒索病毒解密与数据恢复

Hunters International 于 2023 年 10 月中旬首次出现在野：Group-IB 记录其暗网泄露站最早披露于 2023 年 10 月 13 日，公开跟踪平台同样把起始时间定在当月中旬。团伙自称买下了 Hive 的基础设施与加密程序，并「修复了 Hive 中导致部分文件无法解密的缺陷」；Group-IB 则以中等置信度认为它可能就是 Hive 的换牌重组，依据是代码高度重合，以及地下论坛中直接以俄语「хайв」（Hive）称呼该组织。Trend Micro 以 Water Ouroboros 作为该团伙的内部编号。加密器用 Rust 编写，覆盖 x86、x64 与 ARM 架构。

运营模式是典型的勒索软件即服务：核心团队提供加密器、谈判门户、暗网泄露站与名为 Storage Software 的数据外传工具，附属成员负责入侵与投放。微软跟踪的 Storm-0501 即是其附属之一，该团伙先后投放过 Hive、BlackCat、Hunters International、LockBit 与 Embargo。

在约两年的活动周期里，Hunters International 累计公开声称近 300 起攻击，公开跟踪平台记录到 307 个受害组织、覆盖 53 个国家，其中美国约 150 家、英国 16 家、加拿大 15 家。行业分布上，Trend Micro 的统计以建筑、信息技术、制造与医疗居多，公开跟踪平台的口径则以专业服务、制造与信息技术居前，受害组织整体以中小规模为主。较受关注的事件包括 Fred Hutch 癌症中心（涉及数十万患者记录并向患者直接发送勒索邮件）、Integris Health、美国海军承包商 Austal USA、日本光学厂商 Hoya、AutoCanada 与 Tata Technologies。

生命周期已经闭合：2024 年 11 月 17 日团伙首次宣布因「盈利下降与执法压力上升」准备收摊；2025 年 1 月 1 日启用纯窃密品牌 World Leaks，放弃加密、只做窃取与曝光；2025 年 4 月 Group-IB 披露这一转型；2025 年 7 月 3 日正式宣布「关闭 Hunters International 项目」。继任品牌 World Leaks 的挂人活动延续到 2026 年年中，公开跟踪平台记录其累计披露约 170 余家受害组织，最后一次公开发布为 2026 年 7 月 21 日。对国内企业而言，这个家族的现实意义已经从「会不会被加密」转向两点：历史遗留的 .locked 数据如何评估恢复，以及同一套入侵手法（伪装成运维工具的投毒安装包、直接打穿 ESXi）仍被大量团伙沿用。

这个家族的识别最容易踩坑的地方，是它在 2024 年 8 月换了一套完全不同的「签名」。

v1–v5（2023 年 10 月 – 2024 年 8 月）

• 后缀：在完整原文件名后追加 .locked（厂商报告中多写作 .LOCKED），即 报表.xlsx 变为 报表.xlsx.locked，文件名主体不改写、不做随机化；
• 勒索信：受影响目录中出现 Contact Us.txt，英文正文，声称已加密并窃取数据，给出受害者专属 ID 与 Tor 谈判门户地址；
• 泄露站：公司名出现在 Hunters International 暗网 DLS 上并附样本数据包，说明数据已外传。

v6 及以后（2024 年 8 月 14 日起） 加密器不再追加后缀、也不再投放勒索信，这是团伙刻意为之的隐蔽策略，目的是降低普通员工察觉的概率、把沟通渠道收回到攻击者手里。此时的识别依据要换成：

• 文件能被系统打开但内容是乱码，文件大小几乎不变，扩展名和图标都正常；
• 文件头部一段区域保持原样：据 Group-IB 的分析，加密器会在偏移 0x45–0x58 处写入一段固定标记（用于识别已加密文件），密文自偏移 0x59 起写入，因此文件头魔数、Office/PDF 的开头特征通常仍在——「文件类型识别正常但打不开」是最典型的现象；
• 没有勒索信，取而代之的是攻击者按公开信息直接打电话、发邮件或通过社交账号联系管理层；
• 系统侧可见卷影副本被清空、数据库与备份代理服务被停止、大量业务进程被强杀。

ESXi 场景：虚拟机被 vim-cmd 批量关机，/vmfs/volumes 下的 vmx、vmdk、vmss、nvram 等文件被改写，加密文件在偏移 52 处带有「4 字节随机值 + 17 字节固定常量」的标记，文件尾部附有 640 字节 RSA 加密元数据，数据存储剩余空间被随机数据填满。

判定要点：只凭 .locked 后缀不足以定家族——多个不相关家族都用过这个后缀；必须结合 Contact Us.txt 的文本结构、文件尾部标记与样本特征综合判定。反过来，若现场既无后缀变化也无勒索信，也不能排除本家族。

Hunters International 及其附属最具代表性的入口，是针对 IT 运维人员本身的投毒——不打普通员工，直接打手握管理员凭据的人：

• 搜索广告与 SEO 投毒分发木马化运维工具：2024 年 8 月，团伙通过仿冒 Angry IP Scanner（此前还有 Advanced IP Scanner）的站点分发带数字签名的伪装安装包 ipscan-3.9.1-setup.exe，落地 C# 后门 SharpRhino，用于提权与执行 PowerShell；2025 年，其附属又通过恶意广告推广木马化的 RVTools（VMware 管理工具）安装包，把管理员引向仿冒下载页，落地 SMOKEDHAM PowerShell 后门。
• 合法监控软件被滥用：拿到落脚点后部署 Kickidler 员工监控软件，记录管理员键盘输入与浏览页面，从而在不触发告警的前提下窃取云备份与虚拟化平台凭据。
• 公网应用漏洞利用：Trend Micro 观察到对 Oracle WebLogic 已知漏洞（CVE-2019-2725、CVE-2017-10271、CVE-2019-2729）的利用；附属团伙 Storm-0501 则利用 Zoho ManageEngine（CVE-2022-47966）、Citrix NetScaler（CVE-2023-4966）与 ColdFusion 2016 的已知漏洞，并大量使用来自访问中介的失窃凭据。
• 横向移动与投放：Kitty 做 SSH 反向隧道、WinSCP 做数据外传与文件投放、Total Commander 浏览并打包网络共享、VMware PowerCLI 操作 ESXi 并批量执行加密器；域内则借助 AdFind 做侦察，用 ProcessHacker、PCHunter 关闭终端防护。
• 数据外传：使用自研 Storage Software 工具批量外传（该工具后来升级为 World Leaks 的专用外传程序）。

对国内企业的提示很直接：这类攻击的第一块多米诺骨牌，往往是运维同事从搜索结果第一条下载了一个「看起来没问题」的工具。把运维工具的下载来源、管理员终端的应用白名单和 ESXi 管理口的网络可达性管住，收益远高于事后追加杀毒软件。

Windows / 通用加密器：Rust 编写，文件内容以 AES 加密，每个文件使用随机生成的 128 位密钥，并直接调用 CPU 的 AES 指令集扩展（AESKEYGENASSIST、AESIMC、AESENC、AESENCLAST）以提升速度；对称密钥由内嵌的 RSA 公钥封装后随文件保存，私钥不落地，因此在密钥未泄露的情况下不存在数学上的逆推路径。

文件结构：文件头部一段区域不被密文覆盖——据 Group-IB 的分析，加密器会校验并写入偏移 0x45–0x58 处的固定标记（用于判断文件是否已加密），密文自偏移 0x59 起写入。这个细节在取证上很关键：文件头魔数得以保留，所以文件类型识别正常，但内容已不可用；同时也意味着头部结构对结构化修复仍有参考价值。

ESXi 加密器：先用 vim-cmd 批量关闭虚拟机，再遍历 /vmfs/volumes 加密 vmx、vmdk、vmss、nvram 等文件。Synacktiv 对一起事件的分析显示，该变种采用 AES-256 CTR 并只做部分加密：在标记之后加密文件开头约 10% 的数据（单次上限约 100 MiB），再加密后续有限的数据量，文件尾部附加 640 字节 RSA 加密元数据，加密文件在偏移 52 处带有「4 字节随机值 + 17 字节固定常量」的标记。加密完成后还会写入临时文件把数据存储剩余空间填满随机数据——这是刻意针对底层碎片恢复的破坏动作，会大幅压缩未分配空间取数的可能。需要注意该结论来自单一厂商的单起案例，是否适用于全部 ESXi 构建版本仍需逐案实测。

破坏恢复能力：加密器内置数十项默认待杀进程与服务（Group-IB 公开的清单约 50 项，含数据库引擎、备份代理、Office、浏览器等），可通过 -k/--kill 与 -s/--skip 调整；执行多条命令清除卷影副本与备份目录（含 vssadmin.exe delete shadows /all /quiet）；并具备擦除磁盘可用空间的功能。另有 -w/--wait 延迟执行、-l/--low-key 静默模式（跳过进程终止与磁盘分区挂载）、-R/--no-remote 关闭远程主机枚举、-E/--no-erase 跳过空间擦除、-a/--admin 域管理员身份运行等参数，意味着不同现场的破坏程度可能差异很大，必须逐案实测而非套用结论。

双重勒索：团伙自述更看重窃密而非加密，数据在加密前已通过 Storage Software 外传，未付款则在暗网 DLS 分批公开，并曾直接向受害者的患者、客户发送勒索邮件施压。这一倾向最终发展为完全放弃加密的 World Leaks。