analyzing-ransomware-leak-site-intelligence

分析勒索软件数据泄露站点情报

概述

采用双重勒索模式运营的勒索软件（Ransomware）组织在 Tor 隐藏服务上维护数据泄露站点（DLS），在那里发布受害者名称、被盗数据样本和倒计时器以施压付款。2025 年上半年，96 个独特勒索软件组织活跃，每月约发布 535 名受害者。监控这些站点提供了关于活跃威胁组织、目标行业、地理模式和新兴勒索软件家族的情报。本技能涵盖安全收集 DLS 情报、提取结构化数据、追踪组织活动趋势，以及生成行业特定风险评估。

前置条件

• Python 3.9+，安装 requests、beautifulsoup4、pandas、matplotlib 库
• Tor 代理（SOCKS5）用于访问 .onion 站点，或商业 DLS 监控情报
• 了解勒索软件双重勒索商业模式
• 熟悉主要勒索软件家族（Qilin、Akira、LockBit、BlackCat、Clop）
• 访问勒索软件追踪情报（Ransomwatch、RansomLook、DarkFeed）

核心概念

双重勒索模式

现代勒索软件组织在加密受害者数据之前还会将其外泄（Exfiltration）。泄露站点作为公开施压工具：受害者以倒计时器、部分数据样本和文件目录的形式被列出。若未支付赎金，完整数据将被公开。部分组织已转向三重勒索，追加 DDoS 威胁或直接联系受害者客户。

DLS 情报价值

泄露站点提供：受害者识别（公司名称、行业、国家）、攻击时间线（列出时间、截止日期、数据发布时间）、数据量估算、组织能力评估（目标行业、攻击频率、操作节奏），以及趋势分析（新组织出现、组织品牌重塑、执法打击）。

安全收集实践

切勿在生产环境中直接访问 DLS 站点。使用专用监控服务（Ransomwatch、DarkFeed、KELA、Flashpoint）、Tor 隔离研究虚拟机、商业威胁情报平台或社区维护的数据集。所有分析应在隔离环境中进行，并获得适当授权。

实践步骤

步骤 1：从公开情报源导入勒索软件泄露站点数据

import requests
import json
import pandas as pd
from datetime import datetime, timedelta
from collections import Counter

class RansomwareIntelCollector:
    """从公开追踪来源收集勒索软件 DLS 情报。"""

    RANSOMWATCH_API = "https://raw.githubusercontent.com/joshhighet/ransomwatch/main/posts.json"
    RANSOMWATCH_GROUPS = "https://raw.githubusercontent.com/joshhighet/ransomwatch/main/groups.json"

    def __init__(self):
        self.posts = []
        self.groups = []

    def fetch_ransomwatch_data(self):
        """从 ransomwatch 获取勒索软件受害者发布数据。"""
        resp = requests.get(self.RANSOMWATCH_API, timeout=30)
        if resp.status_code == 200:
            self.posts = resp.json()
            print(f"[+] 已从 ransomwatch 加载 {len(self.posts)} 条受害者记录")
        else:
            print(f"[-] 获取记录失败: {resp.status_code}")

        resp = requests.get(self.RANSOMWATCH_GROUPS, timeout=30)
        if resp.status_code == 200:
            self.groups = resp.json()
            print(f"[+] 已加载 {len(self.groups)} 个勒索软件组织画像")

        return self.posts

    def get_recent_victims(self, days=30):
        """获取最近 N 天内发布的受害者。"""
        cutoff = datetime.now() - timedelta(days=days)
        recent = []
        for post in self.posts:
            try:
                discovered = datetime.fromisoformat(
                    post.get("discovered", "").replace("Z", "+00:00")
                )
                if discovered.replace(tzinfo=None) >= cutoff:
                    recent.append(post)
            except (ValueError, TypeError):
                continue
        print(f"[+] 最近 {days} 天内 {len(recent)} 名受害者")
        return recent

    def get_group_activity(self, group_name):
        """获取特定勒索软件组织的所有发布记录。"""
        group_posts = [
            p for p in self.posts
            if p.get("group_name", "").lower() == group_name.lower()
        ]
        print(f"[+] {group_name}: 共 {len(group_posts)} 名受害者")
        return group_posts

collector = RansomwareIntelCollector()
collector.fetch_ransomwatch_data()
recent = collector.get_recent_victims(days=30)