Silent Ransom Group 勒索病毒解密与数据恢复

Silent Ransom Group 至少自 2022 年 3 月起活动，时点与 Conti 解体重合。其成员此前以 BazarCall 式回调钓鱼为 Ryuk、Conti 提供初始访问，Conti 停摆后自立门户，放弃加密载荷，只做数据窃取与曝光勒索；需要说明的是，Mandiant 等厂商将其归为 Conti 体系的分支，而 Unit 42 在 2022 年的报告中对这一归属持保留态度。Mandiant 以 UNC3753 追踪同一集群，CrowdStrike 称其 Chatty Spider，FBI 通告同时并列 SRG、Luna Moth、Chatty Spider、UNC3753 四个名字。

手法经历三次演进：

• 2022 年至 2025 年初：以虚假订阅续费、发票为由头的回调钓鱼，邮件里只有一个 PDF 与一个呼叫中心电话；FBI 指出其刻意把「订阅费」金额压得很低，以降低受害者立刻起疑的可能。
• 2025 年春起：改为直接冒充企业内部 IT 服务台打电话，以「安全问题」「数据迁移」为由拉起屏幕共享；目标不限高管，而是官网上能查到的各层级员工。
• 2025 年 4 月起，FBI 于 2025 年 5 月首次通报、2026 年 5 月再次重申：远程社工失败时改走线下，派人到受害方办公地点自称 IT，以「做镜像 / 建本地备份」为由插移动存储拷数据。

规模与目标：ransomware.live 记录其泄露站累计挂出约 145 家机构，其中约 114 家在美国（近八成），行业分布以专业服务（律师事务所为主体）居首、金融业次之；FBI 通告另提到保险与医疗行业受害方，并指出该团伙自 2023 年春起持续锁定美国律所。2026 年 1 至 5 月，Mandiant 追踪到数十家美国专业服务、法律与金融机构在同一波行动中被窃密。FBI 在一年内就同一团伙发出两份专项文件（2025-05-23 的 PIN 与 2026-05-26 的 FLASH），在美国执法通报中并不多见；截至 2026 年 9 月上旬其泄露站仍在更新，最近一次挂载为 9 月 4 日。

公开报道中出现过受害律所支付大额「封口费」的说法，但金额未经受害方或执法机构确认，本页不予采信；围绕 FBI 2025 年通告的公开报道给出的勒索金额区间为数百万美元级，与「双位数百万」的说法并不一致。

命名澄清：SRG 不是「勒索病毒」，没有可分析的加密器样本；它与 Scattered Spider 在服务台冒充手法上相似，但属不同组织，IOC 不可互相套用。

没有后缀、没有勒索信文件，「看后缀认家族」完全不适用——文件能正常打开，往往到收到勒索邮件那一刻才发现出事。可核验的线索分布在六个面上：

• 邮件面：消费级邮箱发来的发票或订阅主题邮件，正文简短甚至带拼写错误，不含链接与附件，只为随后的电话做铺垫。
• 域名面：与企业名高度相似的服务台仿冒域名，形如 <企业名>-itdesk、<企业名>-helpdesk。
• 终端面：短时间内出现非授权远程工具会话——AnyDesk、Zoho Assist、RustDesk、Bomgar、SuperOps、Syncro、Splashtop、Atera，或被滥用的 Quick Assist、Teams 与终端服务；典型落地动作是 curl 下载 MSI 后 msiexec /quiet 静默安装。
• 外传面：WinSCP 便携版、被改名或隐藏的 Rclone，向 Google Drive、OneDrive 等网盘上传，以及从员工本人邮箱向外发文件；22 端口出现持续异常外发。
• 勒索面：邮件主题形如「<公司名> has lost confidential data of their clients」，给三天期限，威胁通知员工与客户并公开到泄露站，随后电话骚扰。
• 现场面：陌生人到访自称 IT 服务商，要求「做镜像」或「建本地备份」并插入移动存储。

全程使用合法工具、不落传统恶意软件，EDR 静态命中率很低。可用的检测点是组合特征：异常 RMM 安装 + 短时间大批量文档访问 + 大流量外发。

SRG 的入口是人而不是漏洞。它几乎不做权限提升，也不横向铺开全域，拿到一台能访问文档库的普通员工终端就足够开工。

主线是语音钓鱼：先用一封无害的发票主题邮件建立话题，再由「IT 服务台」致电，以安全告警或数据迁移为由要求员工加入屏幕共享。会话工具都是企业自己熟悉的 Teams、Zoom、Quick Assist 与终端服务，观感与真实运维无异——已记录过攻击者与同一名员工三天内通话五次的案例。取得信任后通过 Privnote 这类阅后即焚链接递送安装命令，落地 AnyDesk、Zoho Assist、Bomgar 或 SuperOps 代理建立稳定通道。

绕过终端管控的路径值得单独注意：攻击者先在员工个人笔记本上开会话，再从这台不受管控的 BYOD 设备接入企业 Windows 365 或 Citrix 虚拟桌面，跳过公司终端上的应用管控与审计。

线下入口是 2025 年出现的新变化，2026 年被 FBI 再次重申：远程说服失败时派人到受害方办公场所，以「设备需要镜像」取得物理接触并直接拷数据。它利用的是网络安全与物理安防之间的管理缝隙——前台与同事通常不核验工单，IT 也不知道有人来过。

节奏极快：从首次接触到外传与勒索邮件常在一个工作日内跑完，已观察到检索、暂存与外传在一小时内完成，外传后三十分钟内勒索邮件即发出。「等下周安全例会再说」的响应节奏完全跟不上。

SRG 不加密文件，本节因此讨论它真正的破坏动作：定向检索与批量外传。（2022 年曾有关联集群投放过 LOCKBIT.BLACK 载荷，此后完全转向纯窃密模式。）

检索：进入终端后枚举本地目录、映射网络盘与活动的 OneDrive 文件夹；律所场景中直接使用 iManage 等文档管理系统的关键词搜索定位敏感卷宗——用的是受害员工自己的合法权限，审计日志里看起来就是本人在查文件。目标数据集中在 W-2、W-9、1099 等税务表单、审计底稿、客户合同与含社保号的人事材料；对律所而言，被取走的往往是受律师-客户特权保护的案卷。

暂存与外传：文件先集中到 Downloads 目录或 Roaming 路径，再走三条通道之一——拖拽上传到攻击者控制的消费级网盘（文件夹被改成受害方品牌名以便归档）、用 WinSCP 便携版或 Rclone 走 SFTP 外发（浏览器上传被管控时的备选）、或直接从受害员工邮箱发给外部地址。单次外传量从一两 GB 到上百 GB 不等，已记录过先从 OneDrive 外传 1.7 GB、再经虚拟桌面用 WinSCP 补传 14.4 GB 的组合。

对防守方的含义：没有加密进程、没有卷影删除、没有服务停止，传统勒索行为检测规则全部不触发。有效监控点在数据侧与网络侧：文档系统批量下载告警、非常规 SFTP 与网盘 API 流量、未经审批的 RMM 安装事件。