俄語駭客同時經營勒索軟體入侵販售與對烏克蘭間諜活動，單一暴露伺服器揭露雙重身分

暴露的伺服器：一份敞開的駭客行動劇本

CloudSEK 在一個與俄羅斯有關聯的威脅行為者所擁有的伺服器上，發現了一個開放目錄，該目錄成為了該操作者活動的指令層級記錄 。這個目錄包含了：

• 按 CVE 分類的漏洞利用工具
• 按國家區分的目標清單
• 將掃描輸出分類為「易受攻擊」、「不易受攻擊」和「無法連線」的結果集
• 一個用於追蹤數十萬個目標處理進度的檢查點機制

實際上，這台伺服器就是該操作者的行動劇本和按鍵記錄，只要知道門路的人都能一覽無遺。

被利用的漏洞與攻擊目標產業

該經紀商為至少12個不同的 CVE 準備了漏洞利用程式，這些漏洞主要針對廣泛部署在網際網路上的邊緣設備和網路應用程式 。受影響的廠商包括 Fortinet、SonicWall、F5、Citrix、Sophos、SAP、Roundcube、vBulletin 和 Hikvision 。雖然大多數漏洞利用程式碼是公開的概念驗證 (PoC) 碼，但關鍵的 Fortinet 和 Citrix 漏洞利用程式被改寫成了帶有俄語包裝的模組化框架，能夠自動化執行 SSH 金鑰注入、VPN 用戶建立、管理員後門部署以及大規模掃描 。該操作者還維護了一份本地端的 nuclei 模板庫，以及超過100個用於偵測最新漏洞和命令與控制 (C2) 面板或竊密軟體的客製化模板 。

攻擊目標涵蓋教育、醫療保健、金融、電信和政府等多個領域，遍及北美、歐洲及其他地區的十多個國家 。

Active Directory 完全淪陷的證據

該操作者的後滲透攻擊鏈提供了完整的 Active Directory 控制權證據 ：

• 橫向移動：首先透過 Neo-reGeorg 網頁後門和 SOCKS 隧道建立內部初始存取點，接著利用 Evil-WinRM 基於 NTLM 的橫向移動技術進行武器化 。
• 憑證竊取：從域控制器提取 DPAPI 備份金鑰；傾印 SAM 和 LSA 機密；收集瀏覽器儲存的憑證 。
• krbtgt 帳號淪陷與黃金票據偽造：攻擊者提取了 krbtgt 的雜湊值，並偽造了有效期長達十年的 Kerberos 票據，這使其能夠無視密碼重設和端點修復，無限期地重新進入目標網路 。
• 真實世界案例印證：美國醫療保健機構「大匹茲堡骨科協會 (GPOA)」出現在該目錄中，其域控制器被確認遭到入侵（管理員憑證被竊取、DPAPI 備份金鑰被提取）。GPOA 隨後在2025年的一次事件中出現在 RansomHouse 勒索軟體集團的資料洩漏網站上——這個時間差正好符合典型的犯罪存取經紀商轉售給勒索軟體集團的週期 。

針對烏克蘭的情報收集手法

在該操作者的活動時間線後期，其行為偏離了純粹的商業存取經紀模式 ：

• 部署 Sliver C2 框架：該操作者針對烏克蘭的國防和航太目標部署了 Sliver 命令與控制框架 。
• 竊取原始碼：該經紀商透過暴露的版本控制系統，存取並竊取了與國防相關專案的原始碼儲存庫 。
• IP 攝影機監控：該操作者從數千台暴露的 IP 攝影機中收集影像，並從暴露的遠端桌面 (RDP) 連線中截取螢幕畫面——這些情報可用於定位烏克蘭軍事資產的位置 。
• 次要目標：在數位證據中，美國、歐洲和南韓也作為次要的情報收集目標出現 。

CloudSEK 指出，這種手法與荷蘭情報與安全總局 (AIVD/MIVD) 關於俄羅斯國家相關的攝影機監控行動的建議高度吻合，該行動被用於定位烏克蘭軍事陣地 。

這種雙重角色如何符合已知的俄羅斯運作模式

CloudSEK 以高度信心評估，該操作者是一名俄語初始入侵經紀商，其針對烏克蘭的活動最合理的解釋是，他作為一名犯罪承包商，將包括攝影機情報在內的存取權限販售給國家級買家 。

這與一個有充分文件記錄的俄羅斯情報模式相符：國家支持的駭客組織（例如 SVR、GRU、FSB）通常從犯罪生態系統中獲取初始網路存取權限，而不是自行進行初始入侵 。犯罪經紀商負責處理高量、嘈雜的掃描和利用邊緣設備的工作；國家客戶則付費購買預先部署的、對高價值目標（特別是國防、航太和政府實體）的存取權限，從而在初始入侵階段避免暴露國家控制的基礎設施。

該經紀商用於對商業目標進行勒索軟體攻擊的同一批存取權限，也被作為針對烏克蘭軍事目標的監視管道出售——這是一種雙重用途模式，相同的技術能力既能為犯罪者創造收入，又能為俄羅斯國家產生戰略情報價值 。