ShinyHunters 勒索病毒解密与数据恢复

ShinyHunters 自 2019 年起以 ShinyCorp 身份活动，MITRE ATT&CK 收录为 G1057，别名有 UNC6240、Bling Libra。它不是传统勒索病毒家族，而是只窃密、不加密的数据勒索品牌；按 Mandiant 的判断，这是多个威胁集群共用的一块招牌，而非统一指挥的团伙。

主线分三段：2020—2023 年在 RaidForums、BreachForums 出售被窃数据库；2024 年宣称并兜售多起未启用多因素认证的 Snowflake 租户数据，同期 Unit 42 记录到其转向直接勒索、并在云存储侧删桶留言；2025 年起转向 SaaS——6 月 Google 披露 UNC6040 以语音钓鱼诱导员工授权恶意「已连接应用」导出 Salesforce 数据，8 月 Salesloft Drift 集成的 OAuth 令牌被盗、涉及数百家企业（Google 将该批入侵单独编号为 UNC6395 跟踪，该品牌自行宣称对其负责），随后以联合品牌自建暗网泄露站。

该团伙与 Scattered Spider、LAPSUS$ 同属「The Com」生态，2025 年三方以 Scattered LAPSUS$ Hunters（SLSH）名义联合行动并推出 ShinySp1d3r 勒索软件即服务分支——「不加密」是历史特征，不能当作永久假设。多名关联人员被捕或判刑后品牌仍未停摆：截至 2026 年 9 月上旬，ransomware.live 记录其泄露站累计约 156 家受害机构，最近更新为 9 月 7 日。

目前无公开报告确认其定向攻击中国大陆机构，但入口与国内企业薄弱点高度重合：依赖海外 SaaS、第三方集成授权长期不复核、服务台缺少双向核验。

没有加密后缀——「看后缀认家族」完全不适用，多数受害方是在收到勒索邮件或被问到泄露站条目时才知道出事。需要注意的是「不加密」不等于「不留勒索信」：MITRE 在 G1057 下记录该团伙会在被入侵的存储位置留下名为 README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT 的勒索信（属于篡改/留言行为，不伴随文件加密）。线索集中在四个面：

• SaaS 授权面：「已连接应用」中出现未经审批的应用（历史案例伪装成 My Ticket Portal 一类名字）；Data Loader 或仿其功能的脚本发起超常规批量导出；OAuth 令牌来源异常或在非常规时段被使用。
• 语音与短信面：员工报告「IT 服务台」来电，要求打开连接页面并输入一串 connection code。
• 勒索通信面：Tuta（tuta.com）匿名邮箱发出的英文勒索邮件，落款自称 ShinyHunters，给出比特币地址与 72 小时期限。
• 曝光面：Tor 泄露站挂出公司名与样本数据包，Telegram 频道以 SLSH 品牌同步施压。

判定要点：这个名字被冒用极其频繁，Google 明确指出负责勒索的集群「一贯宣称隶属 ShinyHunters」以增加压力。仅凭邮件自称不能作为归因依据——缺少技术证据时应先查有没有真实的外传。

入口是身份与授权，不是终端漏洞。MITRE ATT&CK 在 G1057 下记录的技战术可归为五条：

• 语音钓鱼（T1598）：冒充 IT 支持打电话，目标是任何有 SaaS 权限的普通员工，诱导其授权恶意已连接应用、交出口令与 MFA 验证码。
• OAuth 令牌盗用（T1528）：2025 年影响面最大的一条。被攻破的若是数百家企业共同接入的集成服务，单点失陷即形成供应链级扩散，客户侧的 MFA 与终端防护全部不参与防御。
• 合法凭据复用（T1078、T1552.001、T1110）：撞库、窃密木马日志、配置文件里的明文凭据，以及对 VPN 与防火墙的口令爆破。
• 公网应用漏洞（T1190）：MITRE 在 G1057 下记录其利用互联网暴露服务器的已知漏洞，并点名 Oracle PeopleSoft 相关漏洞 CVE-2026-35273。另有 2026 年 9 月的事件中，攻击方自述通过口令重置流程缺陷接管账号后按记录 ID 逐条抓取数据——该细节出自攻击者向媒体的说法，未经受害方证实。
• 远程管理工具（T1219）：MeshCentral、ConnectWise 等合法 RMM 用于维持访问。

两个反直觉之处：窃取与勒索之间可能间隔数月（Google 判断 UNC6040 与 UNC6240 之间可能分工协作），收到勒索邮件时证据常已过日志保留期；且攻击不落地在你自己的网络里，唯一有效的证据面是云端审计日志。

主线活动不加密任何文件，本节讨论它真正的破坏动作：云端数据的定向检索与批量外传。

检索与外传：拿到租户访问权后做云基础设施与存储对象发现（T1580、T1619），枚举可访问对象、代码仓库与数据库（T1213.003、T1213.006），再通过被攻破的 SaaS 平台本身带走数据（T1567）——典型手段是官方 Data Loader 或仿其功能的自研脚本，出口侧用 Tor 多跳代理（T1090.003）隐藏来源。全程走受害方自己的合法授权，审计日志里看起来就是一次正常的集成调用。

但「不加密」不等于「不破坏」：Unit 42 对该团伙 2024 年一起云存储事件的分析显示，攻击者在取走数据后直接调用 DeleteBucket 删除了若干 S3 存储桶（T1485），并新建以 contact-shinycorp-tutanota-com-# 命名的空桶留言。因此云存储侧的删除保护、版本控制与跨账号备份同样是必须项。

对防守方的含义：没有加密进程、没有卷影删除、没有服务停止，传统勒索行为检测规则几乎一条都不会触发。有效监控点全在身份与数据侧：已连接应用与 OAuth 授权变更告警、API 调用速率与导出量基线、Tor 出口地址访问、数据仓库大结果集查询、云存储删除类 API 调用告警。

唯一的例外：关联的 ShinySp1d3r 是真正会加密的 RaaS 分支（可公开追溯的样本线索约自 2025 年 11 月出现）。其加密后缀与加密算法暂无可信公开资料；第三方聚合平台记录其勒索信文件名为 README_SH1NYSP1D3R.txt，但仅见单一来源，本页不据此推断处置方案——遇到真实加密事件必须取样重新鉴定。