俄語黑客玩兩面：一邊賣勒索軟件「入場券」，一邊幫俄羅斯偷烏克蘭軍事情報

2026年8月，網絡安全公司 CloudSEK 發表咗一份令人震驚嘅調查報告。佢哋發現一個講俄語嘅「初始存取經紀」（Initial Access Broker，IAB）——即係專幫人入侵網絡然後賣「入場券」嘅黑客——竟然將自己用嚟操作嘅伺服器暴露咗喺網上，冇任何密碼保護 。呢個開放目錄就好似一本完整嘅操作手冊同鍵盤記錄，任人睇晒佢幾個月以嚟做過啲乜 。

最吊詭嘅係，佢唔單止係一個賺錢嘅黑客，仲係一個幫俄羅斯做間諜嘅黑客。佢一邊將入侵得嚟嘅網絡存取權賣俾勒索軟件集團賺取暴利，另一邊就搜集烏克蘭軍事目標嘅情報，賣俾俄羅斯政府 。

開放伺服器：黑客自己嘅操作記錄任人睇

CloudSEK 嘅研究人員發現呢個開放目錄嘅時候，簡直好似執到寶。裡面嘅資料詳細記錄咗呢個黑客由2025年中到2026年底嘅活動 ：

• 按 CVE 編號分類嘅漏洞攻擊工具
• 按國家分類嘅目標清單
• 掃描結果分成「有漏洞」、「無漏洞」同「無法連線」三類
• 一個記錄進度嘅檢查點機制，追蹤佢對幾十萬個目標嘅掃描進度

簡單講，呢個伺服器就係佢嘅操作手冊同鍵盤記錄，但就擺咗喺度俾全世界睇。

用咩漏洞？入侵邊啲行業？

呢個黑客起碼用咗12個唔同嘅 CVE 漏洞，針對嘅都係啲常見嘅邊緣設備同網絡應用程式 。受影響嘅包括 Fortinet、SonicWall、F5、Citrix、Sophos、SAP、Roundcube、vBulletin 同 Hikvision 等品牌 。大部分攻擊程式雖然係公開嘅概念驗證碼，但針對 Fortinet 同 Citrix 嘅幾個漏洞，佢就改裝成模組化框架，仲加上俄文介面，可以自動化咁注入 SSH 密鑰、建立 VPN 用戶、加裝後門同大規模掃描 。佢仲保留咗超過100個自訂嘅掃描模板，專門用嚟偵測新漏洞同 C2/竊取器控制面板 。

佢嘅目標橫跨北美、歐洲等超過十幾個國家，包括教育、醫療、金融、電訊同政府機構 。

完全控制 Active Directory：證據確鑿

呢個黑客嘅操作手法顯示佢有能力完全控制受害機構嘅 Active Directory（AD）：

• 橫向移動：先用 Neo-reGeorg 網頁外殼同 SOCKS 隧道建立內部存取，再透過 NTLM 驗證同 Evil-WinRM 工具進行橫向移動 。
• 偷取憑證：從域控制器提取 DPAPI 備份密鑰、傾倒 SAM 同 LSA 機密、仲偷埋瀏覽器儲存嘅密碼 。
• 偽造黃金票證：偷取 krbtgt 帳戶嘅雜湊值，偽造有效期長達十年嘅 Kerberos 票證，就算受害者重置密碼或者修復系統，佢都可以隨時重新入侵 。
• 真實案例：美國匹茲堡骨科診所（Greater Pittsburgh Orthopaedic Associates，GPOA）嘅資料就喺呢個開放目錄入面，顯示管理員憑證被偷、域控制器嘅 DPAPI 備份密鑰被提取。之後 GPOA 就出現在勒索軟件集團 RansomHouse 嘅洩密網站，時間差完全符合黑客出售存取權俾勒索集團嘅模式 。

針對烏克蘭嘅情報搜集手法

去到操作後期，呢個黑客嘅活動就唔再單純係為咗錢 ：

• 部署 Sliver C2 框架：針對烏克蘭嘅國防同太空目標部署呢個指令與控制框架 。
• 偷取源碼：透過暴露嘅版本控制系統，偷取國防相關項目嘅源代碼庫 。
• IP 監控鏡頭監視：從成千上萬部暴露喺網上嘅 IP 監控鏡頭收集影像，仲截圖暴露嘅遠端桌面（RDP）連線畫面。呢啲情報可以用嚟定位烏克蘭軍事設施嘅位置 。
• 次要目標：美國、歐洲同南韓都係佢嘅情報搜集對象 。

CloudSEK 指出，呢種手法同荷蘭情報機構 AIVD/MIVD 之前發佈嘅報告非常相似，都係俄羅斯利用公開嘅 IP 監控鏡頭定位烏克蘭軍事陣地 。

點解呢種雙面人模式係俄羅斯嘅慣常做法？

CloudSEK 高度確信，呢個黑客係一個講俄語嘅初始存取經紀，而佢針對烏克蘭嘅活動，最好嘅解釋係佢係一個「犯罪承包商」，將入侵得嚟嘅存取權——包括監控鏡頭嘅情報——賣俾俄羅斯政府 。

呢個模式完全符合已經有大量文件記載嘅俄羅斯情報機關做法：俄羅斯的 SVR、GRU、FSB 等情報單位，經常從犯罪黑客生態系統購買初始存取權，而唔係自己親自進行入侵 。犯罪黑客負責做大量嘈雜嘅掃描同攻擊邊緣設備呢啲「髒活」，而俄羅斯政府客戶就俾錢買已經準備好嘅存取權，咁樣就可以避免一開始就用國家控制嘅基建去入侵，降低被發現嘅風險。

同一批入侵得嚟嘅存取權，可以賣俾勒索軟件集團對商業目標進行勒索賺錢，又可以作為監控管道賣俾俄羅斯政府對付烏克蘭軍事目標。呢種「雙重用途」模式，同一套技術能力，同時為犯罪生意同國家情報服務創造價值 。