勒索軟件即服務（RaaS）模式、雙倍勒索策略以及人工智能的廣泛應用，共同構成了當前不斷演變的勒索軟件威脅格局。執法部門對LockBit等組織的打擊，使得勒索軟件市場更加碎片化，新玩家試圖從中分一杯羹。攻擊者包括國家行為體、RaaS運營商、獨立操作者以及數據盜竊勒索團伙。以下是當前活躍的主要威脅組織的不完全列表，入選依據是它們的影響力或創新特征。

Akira

歷史背景：Akira是一個復雜的RaaS組織，于2023年初出現，至今仍活躍。

運作方式：部署Akira的組織通常利用企業VPN設備的認證缺失、開放的RDP（遠程桌面協議）客戶端以及泄露的憑證來攻擊企業系統。

目標受害者：主要目標包括北美、歐洲和澳大利亞的中小型企業。Palo Alto Networks的Unit 42情報部門指出，受影響行業包括制造業、專業法律服務、教育、電信、技術和制藥業。

歸屬推測：間接證據表明其可能與俄羅斯有關，并與已解散的Conti勒索軟件有關聯，但歸屬仍不明確。HackerOne的EMEA解決方案架構師Shobhit Gautam表示：“該威脅組織因其數據泄露網站（DLS）和信息的‘復古美學’而引起關注。”

Black Basta

歷史背景：Black Basta于2022年初出現在勒索軟件領域，被認為是Conti的分支，后者以攻擊大型組織而臭名昭著。

運作方式：Black Basta通常通過利用已知漏洞和社會工程活動部署惡意軟件。Rapid7的威脅分析高級總監Christiaan Beek表示：“目標環境中的員工會遭到郵件轟炸，隨后該組織冒充公司技術支持部門與他們聯系。”

目標受害者：云安全公司Qualys的分析顯示，全球超過500個組織受到Black Basta的影響。

歸屬推測：安全研究人員推測，Black Basta可能與FIN7網絡犯罪集團有關，因為兩者在逃避端點檢測和響應系統的自定義模塊上存在相似之處。

Blackcat (ALPHV)

歷史背景：BlackCat，也被稱為ALPHV或Noberus，于2021年11月出現，據稱由已解散的Darkside組織前成員組成，后者曾因攻擊Colonial Pipeline而臭名昭著。

運作方式：BlackCat使用的惡意軟件針對Windows和Linux系統，采用三重勒索策略：要求支付贖金以解密文件、承諾不泄露被盜數據以及阻止分布式拒絕服務（DDoS）攻擊。

目標受害者：BlackCat涉嫌多起高調攻擊，最著名的是2023年9月對Caesars Entertainment和2024年2月對UnitedHealth Group子公司Change Healthcare的攻擊。

歸屬推測：BlackCat組織已隱匿，可能是對執法行動的回應以及Change Healthcare攻擊的影響。其核心成員可能成為美國起訴的目標。

BlackLock

歷史背景：BlackLock（又名El Dorado）自2024年3月出現以來增長迅速。威脅情報公司ReliaQuest預測，它可能取代RansomHub成為今年最活躍的勒索軟件組織。

運作方式：該組織通過開發自定義惡意軟件脫穎而出，這是像“Play”和“Qilin”這樣頂級組織的標志。其惡意軟件針對Windows、VMware ESXi（虛擬化服務器）和Linux環境。攻擊者通常加密數據并竊取敏感信息，威脅如果不滿足勒索要求就公開這些信息。

目標受害者：BlackLock已攻擊了多種目標，包括美國的房地產、制造業和醫療保健組織。

歸屬推測：BlackLock在專注于勒索軟件的俄語論壇RAMP上非常活躍，積極招募包括初始訪問經紀人在內的各種角色。其結構歸屬尚未明確。

Cl0p

歷史背景：Cl0p勒索軟件的歷史可以追溯到2019年，過去六年的廣泛濫用主要與俄語網絡犯罪集團TA505和FIN11有關。

運作方式：Cl0p利用零日漏洞攻擊目標，通常避免使用常規有效載荷，但仍依賴泄露網站勒索受害者。Rapid7的Beek表示：“我們觀察到該組織利用高知名度平臺的漏洞，在最短停機時間內竊取數據，例如利用Cleo文件傳輸軟件中的漏洞。”

目標受害者：Cl0p攻擊了全球多家大型組織，最臭名昭著的是2023年利用MOVEit漏洞發起的大規模攻擊，影響了數千家組織。

歸屬推測：Cl0p勒索軟件被歸屬于多個（主要是俄語）網絡犯罪集團。

Funksec

歷史背景：FunkSec是一個新的RaaS組織，于2024年底出現，僅在12月就宣稱有超過85名受害者。

運作方式：FunkSec在惡意軟件開發中使用人工智能，要求低額贖金，但其數據泄露的“可信度存疑”。Rapid7的Beek表示，部分泄露數據可能是從早期漏洞中重新利用的。

目標受害者：FunkSec宣稱有大量受害者，但研究人員警告，一些泄露數據可能是重新整理的。

歸屬推測：FunkSec以RaaS模式運營，可能與俄語附屬機構有關。

LockBit

歷史背景：LockBit是一個通過RaaS模式運營的網絡犯罪組織，在2024年受到打擊后仍有復活的跡象。該組織以其高效的加密和雙倍勒索策略而臭名昭著。

運作方式：盡管去年執法部門對其進行了大規模打擊，LockBit仍繼續使用日益強大的RaaS模式和雙倍勒索策略。Searchlight Cyber的威脅情報主管Luke Donovan表示：“LockBit繼續在暗網論壇上列示受害者、招募附屬機構并試圖恢復其聲譽。”

目標受害者：在其鼎盛時期，LockBit攻擊了全球數千名受害者，包括政府部門、私營公司和關鍵基礎設施提供商。

歸屬推測：LockBit在俄語論壇上的活動以及目標模式讓一些分析師認為該組織總部位于俄羅斯。俄羅斯公民Dmitry Yuryevich Khoroshev被西方執法機構列為LockBit的開發者和管理者，面臨美國的起訴、資產凍結和旅行禁令。

Lynx

歷史背景：Lynx的源代碼與早期的INC勒索軟件有48%的相似度，表明可能是同一威脅組織的更名或進化版本。

運作方式：Lynx 運營著 RaaS 并采用雙重勒索策略。滲透到系統后，勒索軟件可以竊取敏感信息并加密受害者的數據，從而有效地將他們鎖定在外面。為了使恢復更加困難，它為加密文件添加了“.lynx”擴展名，并刪除了卷影副本等備份文件。

目標受害者：自出現以來，該勒索軟件已積極針對美國和英國的多個行業，包括零售、房地產、建筑、金融服務和環境服務。據帕洛阿爾托的 Unit 42 威脅情報小組稱，Lynx 背后的組織在 2024 年 7 月至 2024 年 11 月期間攻擊了美國各地的多個設施，其中包括與能源、石油和天然氣相關的受害者。

歸屬推測：Lynx 作為RaaS模式 運行，這意味著它可能被多個網絡犯罪分子而不是單個實體使用。

Medusa 

歷史背景：  Medusa是一種RaaS，于 2022 年首次亮相。

運作方式： 該組織通常通過利用面向公眾的資產中的漏洞、網絡釣魚電子郵件或使用初始訪問代理來入侵系統。

目標受害者： Medusa 背后的網絡犯罪分子以美國、歐洲和印度的醫療保健、教育、制造和零售組織為目標。

歸屬推測： 與 Medusa 相關的俄語網絡犯罪論壇上的活動表明，該核心組織及其許多附屬機構可能來自俄羅斯或鄰國，但未得到完全證實。

Play

歷史背景：Play 是 2022 年 6 月出現的勒索軟件威脅。在瓦解其他主要威脅行為者后，該組織加強了其活動。

運作方式： 攻擊者通常在泄露敏感數據后加密系統。除了其泄密網站外，Play 在暗網上保持相當低調，不在暗網論壇上進行宣傳。

目標受害者：該組織針對各個行業，包括醫療保健、電信、金融和政府服務。

歸屬推測：Play 可能與朝鮮國家結盟的 APT 組織有關。

Qilin

歷史背景：Qilin也稱為 Agenda，是一家總部位于俄羅斯的 RaaS 集團，自 2022 年 5 月開始運營。

運作方式：該組織使用以 Golang 和 Rust 編寫的勒索軟件變體為目標，包括 Windows 和 Linux 系統，包括 VMware ESXi 服務器。Qilin遵循雙重勒索模式——加密受害者的文件，并威脅如果不支付贖金就泄露被盜數據。

目標受害者：Qilin 在地下論壇上招募分支機構，并禁止攻擊與俄羅斯接壤的獨立國家聯合體 （CIS） 組織。

歸屬推測：Qilin 的構成仍然未知，但被懷疑是與俄羅斯的網絡犯罪組織有關。

RansomHub

歷史背景：RansomHub 于 2024 年 2 月出現，并迅速成為主要網絡威脅。該組織最初被稱為 Cyclops，后來被稱為 Knight，通過招募其他被打擊的勒索軟件組織（如 LockBit 和 ALPHV/BlackCat）及其附屬組織來擴大其影響。

運作方式：一旦進入網絡，RansomHub 附屬公司就會泄露數據并部署加密工具，通常利用合法的管理實用程序來促進他們的惡意活動。

目標受害者：據 Rapid7 稱，RansomHub 已與歐洲和北美各個關鍵領域的 210 多名受害者有關，包括醫療保健、金融、政府服務以及關鍵基礎設施。

歸屬推測：歸屬仍未得到證實，但間接證據表明，這是一個有組織的講俄語的網絡犯罪活動，與其他已建立的勒索軟件組織有聯系。