Scattered LAPSUS$ Hunters 勒索病毒解密与数据恢复

Scattered LAPSUS$ Hunters（SLSH，也写作 SLH，媒体称「Trinity of Chaos」）于 2025 年 8 月在 Telegram 上公开成型，自称汇集 ShinyHunters、Scattered Spider 与 LAPSUS$ 的成员，是 The Com 生态下的松散联盟而非单一团伙。

其 2025 年主线是 Salesforce 生态：8 月 Salesloft Drift 集成的 OAuth 令牌遭滥用引发供应链泄露，该联盟在 Telegram 上宣称负责，但业界对这一归因仍有分歧；10 月 3 日上线泄露站点名 39 家企业、声称握有近 10 亿条 Salesforce 记录，Salesforce 公开拒绝支付；11 月借 Gainsight 集成再称拿下约 285 个实例，同时公布自研加密器 ShinySp1d3r 并出价收购企业内鬼权限。团伙自称截至 2025 年 11 月中受害单位约 1500 家——这些数字均出自攻击方，未经独立核实。

2026 年联盟形态更松散。Google 威胁情报以 UNC6040、UNC6240、UNC6661、UNC6671 等编号分别追踪其不同职能集群，指出各环节存在分工外包；1 月底新的 ShinyHunters 品牌泄露站上线。年中该品牌一度传出「收手」说法，但泄露站与勒索活动均未停止。厂商月报记录了 2026 年 8 月一起医疗机构事件，攻击方自称四天内导出 2 亿条以上记录并索要 5500 万美元。

对中国企业而言，其打击面不在本地文件服务器，而在跨国 SaaS 与身份平台租户。目前没有公开报告显示其对中国大陆机构发起定向攻击。

第一信号通常不是文件打不开，而是「被通知」：陌生域名发来的英文勒索邮件（带 BTC 地址与 72 小时倒计时）、Telegram 频道点名、泄露站出现本司条目，或员工接到骚扰电话。

身份与 SaaS 侧的痕迹比终端更关键：

• Okta / Entra ID 出现非预期的 MFA 设备注册，「安全方式已注册」通知邮件被第三方 OAuth 应用（ToogleBox Recall 类）自动删除；
• 登录来源集中在 Mullvad、Oxylabs、NetNut 等 VPN 与住宅代理；
• Salesforce 出现新授权的已连接应用，多因员工在电话引导下于 /setup/connect 输入连接码；
• 审计日志中按 proposal、internal、confidential、salesforce 等关键词跨库检索后大批量导出，SharePoint / OneDrive 出现 PowerShell 批量下载。

若确实落了 ShinySp1d3r 加密器：文件名后追加 8 位随机字符后缀（公开样本中如 .XHuch5gq、.GcfVmSz3）。注意后缀逐个文件变化，同一台机器上不同文件的后缀通常不同——公开逆向指出每个构建预先生成一组固定的候选后缀，再按文件分配，因此「后缀不一致」并不意味着中了多个家族。每个目录留下 R3ADME_ 加随机串的 txt 勒索信（该随机串同样取自本构建的候选集），桌面壁纸改为英文告警，勒索信只给 Tox ID 与 Case ID。

该联盟几乎不依赖漏洞投毒，而是围绕「人」和「令牌」展开：

• 语音钓鱼（vishing）：冒充 IT 服务台致电员工，常直接打到个人手机；借助 Vapi、Bland AI 等 AI 语音平台规模化外呼；
• 中间人钓鱼站点：克隆企业 Okta / SSO 登录页，实时转发口令与 MFA 验证码，得手后立即注册自己的 MFA 设备实现持久化；
• 内鬼招募：Telegram 频道公开出价收购 Okta、Microsoft SSO、Citrix 权限，重点行业含征信、保险、金融、零售与酒店；
• 供应链：劫持第三方集成的 OAuth 令牌（Salesloft Drift、Gainsight），并针对 Git、BrowserStack、JFrog 的高权限工程账号渗透 CI/CD；
• SIM 交换与 MFA 疲劳用于绕过二次验证，外带走 MEGA、Google Drive、LimeWire 等云服务。

也有情报把对外暴露的身份中间件漏洞列为其入口之一，但这类归因目前缺乏可复核的公开证据，不建议据此调整防护优先级——真正被反复证实的入口仍是服务台流程与第三方集成令牌。

拿到 SaaS 与身份平台权限后，多数直接进入外带与勒索，不再向内网横向移动——这也是终端防护常常「全程无告警」的原因。

先纠正一个常见误解：该家族的多数事件中没有加密环节。 Bitdefender 在 2026 年 9 月的报告中指出，尽管年初曾高调预告 ShinySp1d3r 投放，近期攻击中并未出现加密器，凭据与数据的分发仍是主要收入来源。

ShinySp1d3r 加密器的公开分析结论（以 Windows 版本为准）：

• 文件内容用 ChaCha20 加密，会话密钥由 RSA-2048（OAEP）封装，且未附带 Poly1305 认证标签；
• 超过 100 MiB 的大文件走部分加密（按 keystream 偏移跳段），大型数据库文件与虚拟磁盘可能保留可观的未覆盖区块；
• 破坏恢复能力：删除卷影副本、清空事件日志、结束 30 余个进程（含 SQL Server 相关进程），并可选擦除空闲空间；
• 每个目录投放 R3ADME_ 前缀勒索信并更换桌面壁纸；加密后缀逐文件变化，与勒索信中的随机串同出自该构建预生成的候选集；
• 横向投放支持 WMI、SCM、GPO、SMB 共享与 PsExec，但样本中默认关闭。

公开分析覆盖的是 Windows 样本。厂商称另有 Linux 与 ESXi 模块在开发中（ESXi 侧描述为 AES-256），但截至 2026 年 9 月尚无公开可验证的样本或实战投放证据，本页的平台标注因此只写 Windows。