2026-10-15 11:41:45 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

从数据勒索到绑架与谍报：Silent Ransom泄露聊天记录揭示\"赛博+人力\"融合威胁

原创

威胁猎人
威胁猎人

OSINT情报分析师

2026年10月10日 15:05
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一批泄露的内部聊天记录显示，俄罗斯勒索团伙Silent Ransom不仅策划向美国律所派遣线下\"特工\"植入恶意U盘，还讨论过绑架企业高管、性勒索以及在海军基地附近酒吧招募美军士兵刺探核潜艇机密——网络犯罪与情报活动的边界正在加速消融。

据Recorded Future News 2026年10月9日报道，一份包含数千条消息的聊天存档于10月初被匿名来源投递至一个.onion站点，时间跨度覆盖2025年8月至2026年9月。

区块链分析公司Chainalysis通过比对存档中的加密货币地址，已将其中部分内容与Silent Ransom Group（SRG）已知的勒索行为进行了关联印证。消息中，该团伙成员以编号加城市的方式管理分布在美国境内的线下\"agents\"（特工），追踪数十名受害者、就数百万美元的赎金讨价还价，其中部分被点名机构至今尚未公开承认遭遇入侵。

一、SRG是谁：Conti残部的\"纯数据勒索\"路线

SRG最早于2022年3月出现，由前BazarCall行动人员组成，这些人在Conti与Ryuk时代即为前者提供初始访问服务。2022年2月俄乌战争爆发后，Conti公开站队俄罗斯并随之引来大量关注与内部泄密，最终于2022年年中解体，其成员分裂重组为多个延续性团伙，SRG即为其中之一。

SRG同时被多家机构跟踪命名为Luna Moth、Chatty Spider和UNC3753。其核心特点是完全不部署加密勒索软件，只窃取数据并以泄露相威胁——典型的\"数据泄露单重勒索\"（data leak only extortion）模式。

由于美国律所掌握大量受特权保护（privileged）的客户敏感信息，一旦泄露将触发不可逆的声誉与法律责任，SRG自2023年春季起持续将美国律所作为首选目标，同时也波及保险、金融和医疗行业。

Halcyon的报告指出，该团伙在2026年5月曾对一家律所勒索高达2000万美元。其攻击战术经历了清晰的三个阶段演进：

2022年初—2025年初：回拨钓鱼。发送伪装成订阅账单的钓鱼邮件诱导受害者回电，随后由专业英语呼叫中心实施语音社工；

2025年3月起：语音钓鱼。直接冒充企业内部IT人员致电受害者，诱导其安装AnyDesk等合法远程访问工具；

2025年4月首次观察到物理入侵。派遣线下人员以\"IT支持\"名义直接进入目标办公楼，将存储设备接入计算机窃取数据。美国联邦调查局（FBI）与互联网犯罪投诉中心（IC3）已于2026年5月26日发布编号为FLASH 20260526-01的预警，确认了SRG这一\"线下人员冒充IT支持\"的入侵路径，这也是FBI首次为某俄罗斯勒索团伙的这一特殊战术发布预警。

值得一提的是，SRG得手后在网络内的横向移动和数据外传几乎完全依赖WinSCP、RClone、AnyDesk等合法工具，以规避传统检测。

二、泄露聊天记录的三重冲击：从勒索到人身威胁再到谍报

1. 人力情报被系统化用于勒索作业

The Record获取的存档显示，SRG的物理入侵模式高度依赖\"可消耗\"（disposable）特工，这与俄罗斯及伊朗情报机构招募一次性线人的做法如出一辙。其招募渠道为Telegram付费广告，伪装成夜店推广、快递、安保等普通招聘信息，主要面向俄语人群。

团队头目估计，招募的10个人中仅有1人可用，他将其称为业务\"转化率\"；另一成员则形容整个流程如同\"传送带\"，有人拿到预付款后消失，有人在办公楼门口退缩，也有人被派去执行付费测试任务。花名册中甚至包括一名被标注\"未成年但已就绪\"的17岁招募对象。

聊天中还浮现出若干具体的渗透道具方案：购买外卖制服和保温包、以\"送披萨\"名义穿过前台后转而冒充IT人员；定制以真实律师面孔为模板的面具；

为假扮客户的特工购买智能眼镜拍摄办公室内部；

一张采购清单包括一台3200美元的紫外打印机和全息材料，用于伪造证件，团伙还曾向纽约的伪造者支付费用。

2. 针对高管及其家属的人身威胁从\"空话\"走向\"计划\"

在受害者管理上，SRG采用了一套标准的\"销售漏斗\"：从\"chat\"（接触）到\"offer\"（报价）、\"contract\"（成交）再到\"gold\"（金标客户）。

存档中一家律所的开价10万美元被嘲讽为\"少了个零\"，随后金额沿50万、150万、225万、300万、350万美元一路攀升至600万美元的合同。

在被打上\"gold\"标签的数十家律所中，团伙自行统计的累计和解金额约达2亿美元。更令人警觉的是，聊天中大量讨论了超出纯数据勒索范畴的胁迫手段——跟踪被称为\"oldies\"的资深律师和高管、摸清其生活规律，甚至拍摄某目标的学龄子女照片作为筹码；

建立虚假伴游网站实施性勒索；绑架高管或其亲属；

组建\"惩罚小队\"恐吓叛变的特工，并讨论使用真枪还是假枪。

Truesec在其分析中明确指出：过去勒索团伙发出的物理威胁之所以是\"空头支票\"，是因为网络犯罪分子缺乏兑现能力；而SRG正在获得这种能力。

3. 刺探美军核潜艇机密，情报变现路径浮出水面

存档中最具战略含义的，是关于军事目标的讨论。2026年4月，团伙头目提出将目标锁定在一名服务于美国陆军的大型军事承包商高级雇员身上，并意识到这类目标\"不能像普通勒索受害者那样处理\"，\"变现方式\"必须不同。

一名成员回复称资金可以来自俄罗斯国防部，尽管该用户以一个笑脸表情收尾，且档案中没有任何证据表明俄国防部确实接触、委托或付费。

但另一个于5月创建的频道则更为具体：通过海军基地附近的同性恋酒吧招募美国水兵，以性接触为诱饵，套取关于\"核潜艇部队\"（submarine-based nuclear forces）动向的机密信息。

团伙随后开始搜集基地及附近场所的情报，数日后一名用户写道：\"我们要用美国佬自己的武器打他们。\"存档中没有证据显示有美军人员被策反或任何军事/核信息被获取。

此外，档案中还出现了一名曾在非洲和乌克兰作战的瓦格纳关联退伍军人的接触记录，以及团伙讨论选择埃塞俄比亚等引渡风险较低国家中转的行动安全考量。

存档末尾，团队还讨论了以\"Sleepless Threat\"品牌重塑，一名高级成员4月时写道，终极目标是\"变成一场社会运动或者邪教\"，让美国人\"自发\"相信该组织的理念并主动窃取有价值信息。

三、战术分析：三重边界的坍塌

本次泄露所揭示的，是三重传统边界的系统性消融，而非孤立事件。

其一，线上攻击与线下入侵的边界。 SRG的攻击链已经从纯社工进化为\"远程语音社工冒充IT + 线下人员到场补完\"的组合拳：远程冒充失败后，直接派人到办公室以IT支持身份接入U盘完成入侵。Halcyon指出，这一战术利用的正是多数企业网络安全与物理安保两套体系相互割裂、缺乏协同防御的盲区。攻击方甚至能通过网络渗透反向映射物理入侵的可行性。

其二，网络犯罪与国家情报活动的边界。长期以来，业界的共识是\"网络罪犯在技术手段上模仿俄罗斯情报机构\"；如今他们连招募agents与insider的方法论（Telegram匿名招募、可消耗线人、性诱饵）也开始系统性复制。SRG至少已将\"招募美军士兵刺探核潜艇机密并卖给俄政府\"作为议题进行了内部可行性讨论——无论最终是否落地，其意图信号已足够明确。

其三，虚拟威胁与物理伤害的边界。当勒索团伙掌握了对高管及其家属进行人身威胁的现实执行能力时，所谓\"不付钱就删数据/曝光\"的博弈逻辑被彻底改写。SRG的行为模式正在向传统有组织犯罪靠拢——数据是筹码，人身是杠杆，两者可以随意组合。

一个值得追问的问题是：这些极端方案究竟是具体策划还是\"意淫式闲聊\"？The Record的报道谨慎指出，存档混杂了真实勒索记录、头脑风暴、废弃计划、吹嘘与暴力幻想，其中最极端的方案没有任何被执行的证据；但Chainalysis已独立印证了档案中部分勒索行为的真实性，线下派特工入侵律所办公室的核心战术也已得到FBI独立佐证。