環球集團RaaS運營
網路安全專家發現了一個名為「GLOBAL GROUP」的新型勒索軟體即服務 (RaaS) 攻擊活動。自 2025 年 6 月初以來，該攻擊活動一直積極攻擊澳洲、巴西、歐洲和美國的組織。此次攻擊活動標誌著勒索軟體生態系統的重大演進。
目錄
從 BlackLock 到 GLOBAL GROUP：品牌重塑策略
被稱為「$$$」的威脅行為者是這項新計畫的幕後黑手，他曾控制 BlackLock RaaS 並管理 Mamona 勒索軟體營運。 GLOBAL GROUP 在 Ramp4u 論壇上進行推廣，被廣泛認為是 BlackLock 的品牌重塑，而 BlackLock 本身源自 Eldorado。
這次品牌重塑源自於2025年3月發生的事件，當時BlackLock的資料外洩網站遭到DragonForce集團的破壞。透過引入GLOBAL GROUP，營運商旨在實現基礎設施的現代化，增強聯盟的吸引力，並恢復信譽。
攻擊策略和入侵途徑
GLOBAL GROUP 採取以經濟利益為目的的策略，利用初始存取代理 (IAB) 進行網路滲透。這些代理商提供預先入侵的企業網路存取權限，使關聯公司能夠專注於勒索軟體的部署和談判，而非滲透工作。
關鍵技術包括：
- 利用易受攻擊的 Cisco、Fortinet 和 Palo Alto 邊緣設備的存取權限
- 使用暴力破解工具攻擊 Microsoft Outlook 和 RDWeb 門戶
- 取得律師事務所及類似目標的遠端桌面協定 (RDP) 或 Web Shell 存取權限
一旦進入系統，攻擊者就會部署後利用工具、執行橫向移動、竊取敏感資料並啟動勒索軟體負載。
RaaS 生態系內部
GLOBAL GROUP 提供全面的聯盟合作夥伴平台和談判平台。聯盟合作夥伴平台能夠：
- 為 VMware ESXi、NAS、BSD 和 Windows 建立勒索軟體負載。
- 追蹤受害者並管理行動。
- 利用行動友善功能進行即時管理。
聯盟會員將獲得 85% 的收入分成，這對招募會員來說是一個極具吸引力的激勵措施。該談判門戶由人工智慧聊天機器人提供支持，支援多語言互動，讓非英語聯盟會員能夠更輕鬆地與受害者進行有效溝通。
受害者概況和全球影響
截至 2025 年 7 月 14 日，GLOBAL GROUP 已在不同行業造成 17 名受害者，其中包括：
- 衛生保健
- 石油天然氣設備製造
- 工業機械及精密工程
- 汽車維修和事故恢復服務
- 業務流程外包（BPO）
技術 DNA 與演進
分析顯示，GLOBAL GROUP 與 Mamona 的代碼相似，並且使用了相同的俄羅斯 VPS 提供者 (IpServer)。該勒索軟體使用 Go 語言編寫，具有全局安裝功能，這與先前的版本有所不同。這項技術轉變凸顯了 GLOBAL GROUP 為擴大聯盟參與度並提升營運韌性所採取的策略性舉措。
環球集團為何面臨日益增加的風險
GLOBAL GROUP 的推出體現了勒索軟體營運商積極推動創新的決心，其技術包括人工智慧談判、可自訂的有效載荷建構器以及先進的聯盟激勵機制。此次現代化升級標誌著勒索軟體領域軍備競賽的不斷升級，對全球網路安全防禦構成了重大威脅。
