2025年3月上旬勒索组织动态：技术迭代与全球攻击态势升级

一、FunkSec：生成式AI驱动的“业余”团伙，攻击效率颠覆传统

自称“业余团队”的FunkSec，凭借生成式AI（GenAI）技术，在短短半年内攻击了全球160个组织，成为3月上旬最活跃的勒索团伙之一。其攻击模式打破了传统勒索组织的技术门槛限制：

• AI辅助开发恶意代码：该组织使用GenAI生成基于Rust语言的勒索软件，代码中夹杂流畅的英文注释，并通过频繁变种绕过杀毒软件检测。例如，3月8日攻击法国雷恩大学和巴黎索邦大学时，窃取了70GB的SQL数据库、系统凭证及科研文件，并威胁在12天后公开20GB敏感数据。

• 低价策略扩大市场：FunkSec要求赎金最低仅1万美元，同时以折扣价向第三方转售数据，降低了黑市犯罪参与门槛。其服务范围甚至扩展至DDoS攻击、密码破解工具包等，形成“一站式犯罪平台”。

• 攻击效率飙升：过去四周内，FunkSec发起了31次攻击，占全球同期攻击总量的19%，主要针对政府、教育和高科技领域。  

防御建议：部署AI驱动的代码行为分析工具，识别异常代码逻辑；优先修补教育机构VPN和远程访问系统漏洞。  

二、RansomHub：继承ALPHV衣钵，RaaS模式冲击制造业

作为2024年崛起最快的勒索即服务（RaaS）平台，RansomHub在3月上旬继续保持高活跃度，单周攻击量占全球总量的19%。其特点包括：

• 精准打击制造业：3月7日，日本工业巨头Japanrebuild遭其入侵，200GB生产图纸、客户订单和财务审计资料被窃。该组织采用Golang和C++编写跨平台勒索软件，支持对Windows、Linux和VMware ESXi系统的快速加密。

• “90/10”分成模式：仿效已解散的ALPHV集团，RansomHub向合作黑客提供90%的赎金分成，并通过严格协议控制攻击目标（避开中国、古巴等国），暗示其与俄罗斯黑产存在潜在关联。

• 低支付率下的规模策略：尽管2024年仅11.2%的受害者支付赎金，但RansomHub通过扩大合作黑客规模维持盈利，目前累计攻击次数已超531次。  

防御建议：制造业企业需强化供应链安全管理，对第三方远程管理工具实施零信任验证。  

三、Hunters International：地缘政治裹挟下的工会与能源攻击

3月2日，Hunters International对西班牙最大工会CCOO发起攻击，窃取570GB人事档案、财务记录和法律文件，直接影响近700名员工隐私。该组织的行动呈现两大趋势：

• 工会成为新靶点：通过钓鱼邮件和恶意软件渗透，攻击工会这类具有政治影响力的机构，可能意图制造社会动荡或施压政策调整。

• 能源基础设施威胁升级：该组织同期泄露了印度塔塔科技公司（Tata Technologies）1.4TB数据，并威胁进一步攻击亚洲电信和欧洲电网，显示其瞄准关键基础设施的意图。  

防御建议：工会及公共机构需部署邮件沙箱检测系统，并对敏感数据实施动态脱敏处理。  

四、Akira与SecP0：绕过防护的创新攻击手法

• Akira：网络摄像头成突破口3月6日，Akira利用企业网络摄像头固件漏洞入侵内网，通过远程桌面协议（RDP）横向移动，成功加密欧洲某能源公司核心系统。该组织采用“加密+数据泄露”双重勒索，并在暗网拍卖窃取的电网运营数据。

• SecP0：零日漏洞勒索化新兴组织SecP0摒弃传统文件加密，转而勒索未公开漏洞。例如，其声称掌握密码管理工具Passwordstate的加密协议缺陷，要求厂商支付赎金否则公开漏洞细节。这种模式迫使企业面临“修补漏洞”与“纵容犯罪”的两难选择。  

防御建议：企业应建立漏洞赏金计划，鼓励白帽黑客提前报告隐患；对物联网设备实施固件强制升级策略。  

五、Belsen Group与ZeroSevenGroup：也门黑客论坛孵化的犯罪联盟

• Belsen Group：Fortinet漏洞产业化利用1月至今，该组织通过CVE-2022-40684漏洞获取1.5万台FortiGate设备权限，并在暗网以每条访问权限500-2000美元的价格出售，主要买家来自非洲、美国及亚洲。

• ZeroSevenGroup：车企数据黑产链2024年入侵丰田美国分部并泄露240GB数据后，该组织3月转向波兰和以色列军工企业，通过伪装成项目管理软件的勒索载荷实施攻击。其基础设施与Belsen Group存在重叠，疑似共享也门黑客论坛资源。  

防御建议：立即排查Fortinet设备补丁状态；对第三方软件实施代码签名验证。  

六、全球勒索攻击趋势与应对策略

1. AI技术双刃剑效应凸显：FunkSec等组织证明，GenAI可大幅降低攻击门槛。防御方需同步引入AI驱动的异常行为检测模型，例如分析网络流量中是否存在AI生成的加密模式。  

2. RaaS生态持续繁荣：RansomHub、EncryptHub等平台通过标准化服务吸引更多“兼职黑客”，企业需加强供应链审计和网络分段隔离。  

3. 地缘政治驱动定向攻击：针对工会、高校和能源设施的攻击增多，建议建立跨行业威胁情报共享联盟。  

4. 漏洞勒索成为新战场：SecP0的商业模式可能引发效仿，企业应建立漏洞响应SOP并部署虚拟补丁技术。  

结语

2025年3月上旬的勒索攻击态势表明，网络犯罪已进入技术平民化、目标政治化、手段多元化的新阶段。面对AI加持的恶意代码、漏洞勒索的伦理挑战，以及地缘冲突衍生的网络战，仅依靠传统防护体系已难以应对。企业需构建“预测-防护-响应”一体化安全框架，同时推动跨国执法合作与技术反制，方能在攻防博弈中占据主动。