勒索事件日报：2026年-11月-11日

原创

企业安全实践
企业安全实践

企业安全实践

2026年11月12日 15:08
福建

去阅读

导读

11月11日新增36起、14个团伙。新团伙Curious Worm首日9连发，全部当日攻击当日挂牌并直接公开；N0n将DraftKings与LiveRamp匿名编号转实名曝光；Osiris单日8起。

一、勒索数据概述

2026年11月11日（周三，UTC自然日），全球勒索软件泄露站新增受害者条目36起，涉及14个已确认攻击团伙（另有2条团伙未标注），较前一日的66起回落45%。

统计口径为11月11日UTC自然日新发现条目，两次独立抓取交叉验证，面板计数36与逐条枚举36完全吻合；当日旗标口径（美国17、德国2、英国2）与逐条核实结果一致。数据截至11月12日8时（北京时间）抓取，单日数字仍存在小幅回填可能。当日无中国内地及港澳台实名主体；Everstake与Doommageddon各有一条名称打码条目，无法判定归属，保留原样呈现。

放回序列：11月3日46、11月4日69、11月5日51、11月6日27、11月7日45、11月8日19、11月9日100、11月10日66、11月11日36。周一N0n单日67起制造的脉冲正在逐日消退（100→66→36），按此斜率，周四大概率回到30起上下的基线。真正的信号不在总量，在结构：36起里有21起来自三个团伙，其中9起来自一个当天才出现的新团伙。

当日最值得注意的三个事实：新团伙Curious Worm首日9连发、全部当日攻击当日挂牌、全部直接全量公开；N0n把DraftKings与LiveRamp从匿名编号转为实名曝光；Osiris单日8起跨美德英。新面孔的冷启动方式、数据资产的变现路径、老牌RaaS的出货节奏，在同一天全部给出了样本。

攻击时间标注率回升至72.2%（26/36），其中当日攻击当日挂牌16起，占已标注条目的61.5%。零日漏洞归因、赎金数字、初始访问向量等硬情报当日仍然缺位。

二、被攻击单位分析（受害者清单）

当日36条条目如下，国别按条目原文、官网域名与描述自述逐条校正（含2处旗标纠错、1处存疑标注）。

分量最重的一条是LiveRamp（N0n，美国）。它不是普通企业——LiveRamp是数据协作与身份解析行业的头部公司，连接着全球广告与营销生态的数据流通。N0n开出的筹码是2.2TB身份图谱交付文件（39,055个文件）、覆盖购买/OTT/人口统计/预测细分的1,006份受众交付文件、1,920万哈希邮箱身份（已解析到真人），连每日合规退出清单都一并拿下。攻击估算日11月2日、挂牌11月11日、状态NOT PAID—EXPOSED。身份解析公司被剥身份图谱，等于整个下游生态的数据血缘被断链——一打多伤的杠杆比加密它的系统大得多。

DraftKings（N0n，美国）与LiveRamp同日转实名，且同为11月2日攻击。筹码是630万移动设备广告标识、740万哈希消费者邮箱（其中288.6万已解析到真人），外加2019年一次营销活动的完整人口画像切片（年龄/性别/语言/机型/运营商，88.4%为男性）。两条原本是11月2日的匿名编号#115、#116——N0n的匿名转实名周期稳定在9天左右，匿名期是它的\"预售窗口\"，到期不付款即实名曝光。这也再次验证：盯住匿名编号条目，就能拿到1至2天的预警提前量。

Osiris的8起是当日第二组主力。技术画像清晰：RaaS模式、Symantec认定其运营者来自前INC勒索的附属，惯用BYOVD（自带易受攻击驱动）先瘫痪端点检测，再上ECC+AES-128-CTR混合加密。目标横跨美德英：印第安纳州Methodist Hospitals（营收3.327亿美元、千人以上规模）、Queenan律所（742GB外泄）、不来梅MKG、英国Audio Note、航空货运地服ExpAirts等。8起里5起是医疗或医疗相邻目标，潜伏期从20天到当天不等，平均约9.8天。

Tyfone（Aoqin，美国）是当日最具供应链含金量的条目。Tyfone做数字银行平台，自述客户包括美国国防部、Google，以及两家资产百亿美元级的信用社。Aoqin拿走35GB合同、银行与客户个人数据，标注Not paid、公开倒计时11月19日。打信用社们的共同上游，一次入侵就能把风险传导给一整层区域性金融机构——这是11月4日Aoqin首秀（4连发含中国主体）后又一次定点出手，选靶逻辑始终是\"平台与供应商\"。

教育赛道连续被打：Oral Roberts大学（Qilin）与曼尼托巴Garden Valley学区（Interlock）。ORU条目有两个刺眼数字：23,600条暴露口令（916条高危），且HudsonRock显示32名员工、135名用户、77条第三方员工凭据早已在窃密器市场流通——站点甚至标注它是重复条目。重复受害的前置条件往往是凭据层面的持续暴露。Garden Valley的勒索描述直接把加拿大FIPPA/PHIA隐私法规的通报义务与罚则写进威胁文本，4,300名学生的信息、教职员工资与银行账户在列——把监管后果转嫁给受害者承担，是话术而非善意提醒。

Settra对energreen的操作是\"审计底稿式勒索\"的又一次完整演示。10月12日攻击、11月11日挂牌，潜伏整30天；挂牌描述精确到注册地址（维琴察省Pojana Maggiore）、创始人兼CEO姓名、2022年被私募21 Invest通过LBO收购的历史、1.16亿欧元营收与241名员工。潜伏期就是尽调期——先摸清你的资产、营收与股权结构，再决定怎么开价。

三、行业维度分析

按逐条核实口径：医疗健康9起（25.0%）居首，若计入医药批发与牙科耗材两条供应链条目，大健康口径达11起（30.6%）；制造6起（16.7%）；法律3起（8.3%）；教育3起（8.3%）；科技与数据平台3起（8.3%）；体育娱乐2起；医疗供应链外的物流航空2起；房地产、建筑、暖通各1起；未披露3起。

医疗健康已经不是\"连续多日居首\"，而是本系列最稳定的结构性头号赛道。当日9起核心条目分属三个团伙（Curious Worm 6起、Osiris 5起中4起医疗、另有New Braunfels等），互相独立却同时出手——这不是巧合，是三条独立的选靶逻辑同时指向同一个行业：数据密度高（病历+支付+身份）、停机代价高（急诊不能停）、监管处罚确定（泄露即触发通报）。防守资源应当向这里倾斜，而不是平均分配。

制造6起里有4起来自Osiris与Akira的老牌打法：中型、流程型、有ERP与图纸。energreen（意大利）、SACHEM（加拿大化工）、R3 Composites、Audio Note UK——规模都不大，但都在供应链的关键环节上。制造条目的共性弱点依然是OT与IT的边界管理，而非某个具体漏洞。

法律3起（Baron & Budd、Queenan、jnattorney）分属三个团伙，延续近两周\"律所多买家竞争\"的格局。jnattorney的筹码直接是客户护照、SSN与签证——律所条目的筹码从来不是律所自己的数据，是客户的。

科技与数据平台3起（Tyfone、LiveRamp、DraftKings）是当日质量最高的一组。三家的共同点：它们本身是数据的集散节点。打它们不是为了它们的系统，是为了它们替下游保管的东西。这个维度上，\"行业标签\"已经不足以刻画风险——数据在谁那里流动，谁就是靶子。

四、区域维度分析

按逐条校正口径（修正2处旗标噪声）：北美21起（58.3%），其中美国19起、加拿大2起；欧洲4起（11.1%）——德国2、英国1、意大利1；中东2起——卡塔尔1、沙特1；非洲1起（埃塞俄比亚）；亚太1起（澳大利亚，旗标存疑）；未标注7起（19.4%）。

美国19起里，Curious Worm与Osiris各贡献5起、N0n贡献2起。需要拆开看：Curious Worm的\"美国5起\"实为4起真美国主体加2处旗标纠错中的部分——它的目标池明确锚定美国中型医疗；Osiris的5起美国条目则以医疗与专业服务为主。单一国家的高占比依旧主要由团伙投放模式制造，而非美国企业单日防御突然恶化。

旗标噪声当日2条（5.6%）：Shannon Medical Center标爱尔兰实为西德州、Baron & Budd标英国实为达拉斯。两条都来自新团伙Curious Worm的批量挂牌——新团伙的条目数据质量普遍更糙，旗标、行业字段都要逐条回原文核验，这在 CW 的9条里已经得到验证。另有Leonard's Express一条旗标存疑（标澳大利亚，同名企业疑似美国纽约州货运公司）。

欧洲4起全部分散在德英意三国的中型企业，无单一团伙集中投放。中东2起（卡塔尔电气承包、沙特牙科耗材）与非洲1起（埃塞教育）全部来自N0n与Curious Worm的长尾投放。发展中市场持续以\"数据预售条目\"的形式被纳入全球挂牌体系——先挂编号、再等买家。

五、攻击团伙分析（团伙分布）

当日14个已确认团伙分布如下（另有2条团伙未标注），前三团伙合计21起、集中度58.3%。

Curious Worm是当日最重要的新变量。首日9起、覆盖美国（校正后6起）、加拿大、沙特等市场，9起中7起医疗健康、全部当日攻击当日挂牌、全部状态直接Leaked（全量公开，无倒计时、无谈判窗口）。目标营收从1,900万美元到5.9亿美元。这个开场方式透露了它的商业模式：它不是来谈判的，是来卖现货的。倒计时是谈判工具，直接公开是货架工具——把数据立刻推向下游买家，变现不依赖受害者付款。站点近10天已出现8个新团伙，\"首日规模化+行业垂直化\"的新团伙冷启动模式正在成为常态（对照11月4日Medusalocker首日18起邮箱库清仓）。

Osiris是当日的老牌回潮样本。这个2025年11月首次现身的RaaS，累计11起总战绩里8起集中在11月11日这一天出货——典型的\"攒批后集中上架\"。其技术特征（BYOVD杀EDR、ECC+AES-128-CTR混合加密、Symantec关联前INC附属）说明老团伙的附属网络没有消失，只是换了品牌与工具链。它当日8起里5起医疗或医疗相邻，垂直度仅次于Curious Worm。

N0n的节奏值得单独记录：上午新增2条匿名预售（#212埃塞教育、#213卡塔尔电气承包），凌晨把9天前的#115/#116实名曝光（DraftKings、LiveRamp）。编号推进到213，匿名期与实名期的双轨货架稳定运转。它的选靶跟着数据买家走：广告标识、哈希邮箱、身份图谱——全部是可直接喂给下游精准营销与钓鱼基础设施的素材。

Aoqin（新团伙标）自11月4日首秀后保持低频定点：本次打数字银行平台Tyfone。加上此前含中国主体的4连发，它出手次数不多，但每一条都落在\"平台/供应商\"节点上。低频高杠杆，比高频扫街型团伙更值得金融与公共事业 sector 建档盯防。

六、攻击手法分析

当日可归因的技术与战术手法汇总如下：

•︎ BYOVD瘫痪端点防护（Osiris）：自带合法签名但存在漏洞的驱动文件加载后关闭EDR/杀软，再部署ECC+AES-128-CTR混合加密。防守侧应启用微软易受攻击驱动黑名单、驱动签名白名单与内核级回滚保护。

•︎ 窃密器先导（多团伙共用）：ORU的23,600条暴露口令（916条高危）、Garden Valley的2,503条、milb.com的2,978条、energreen的第三方员工凭据命中，说明入口大量依赖早已在窃密器市场流通的凭据，而非新漏洞利用。当日零CVE归因。

•︎ 潜伏期两极分化：Settra对energreen潜伏30天（尽调式渗透），Osiris对Herald潜伏1天、Curious Worm全员当日攻击当日挂牌。\"快\"不再是能力差异，是商业模式差异：现货贩卖不需要潜伏。

•︎ 双重勒索的两种形态并存：倒计时型（Queenan 11月18日、Tyfone 11月19日、Herald 11月24日）保留谈判窗口；直接公开型（Curious Worm全部Leaked、N0n两条EXPOSED）跳过谈判直接变现。

•︎ 数据量锚点话术：Queenan 742GB、LiveRamp 2.2TB、Tyfone 35GB、SUNNIER HOMES 23GB——数据量从描述细节升级为标准谈判字段，与营收字段（$157M/$590M）并列出现。

•︎ 供应链定点（Aoqin打Tyfone、N0n打LiveRamp）：不攻击最终用户，攻击数据与平台的集散节点，风险沿下游客户群放大。\\

手法层面的总结论：当日没有任何一条依赖新披露漏洞，入口几乎全部可归结为凭据暴露与既有访问路径。这意味着针对当日成立的防守动作里，凭据泄露监控与口令卫生的优先级高于补丁管理——ORU那23,600条口令就是现成的 IOC 清单。

七、攻击动机分析

从挂牌行为反推动机，当日呈现四种并存且边界清晰的变现路径：

•︎ 数据现货贩卖（Curious Worm为代表）：当日攻击、当日挂牌、直接全量公开——不设谈判窗口，变现对象是下游买家而非受害者。赎金谈判对它只是可选收入，数据市场才是主业。

•︎ 阶梯式赎金谈判（Osiris、Tyfone条目）：倒计时+数据量锚点+营收锚点，给受害者保留明确的付款窗口。Queenan的742GB与Tyfone的35GB都标注了精确到秒的公开时间。

•︎ 下游买家经济（N0n）：DraftKings的广告标识与哈希邮箱、LiveRamp的身份图谱——筹码的设计对象是精准营销黑产、钓鱼基础设施与做空研究，受害者付不付款都可能不影响成交。

•︎ 监管压力杠杆（Interlock对Garden Valley）：勒索文本直接引用FIPPA/PHIA的通报义务与罚则，把\"不付款的代价\"从数据泄露扩展到监管处罚与诉讼风险，专门针对合规敏感的公共机构定制话术。

•︎ 供应链套利（Aoqin）：打平台供应商，向其下游客户群（信用社、国防客户）二次施压或二次贩卖，一次入侵多层变现。\\

动机分层的防守含义：面对现货贩卖型团伙，降低数据本身的可变现性（最小化留存、脱敏、过期机制）比防入侵更务实；面对谈判型团伙，事件响应速度与备份韧性才决定谈判地位。先判断对手是哪一类，再决定预案走哪条线。

八、攻击趋势分析

把当日放进近两周序列，四个趋势值得持续跟踪：

•︎ 新团伙冷启动\"首日规模化+垂直化\"成为常态：站点近10天新增8个团伙；Curious Worm首日9起全医疗、Medusalocker首日18起邮箱库。新团伙的出现不再是试探性单发，而是带着完整目标清单和明确商业模型入场。按行业设防、而非按团伙名单设防，从建议变为必须。

•︎ \"当日攻击当日挂牌\"占比升至44.4%（16/36）：攻击到曝光的缓冲持续压缩，留给蓝队检测与遏制的时间窗口以小时计。入侵后72小时黄金处置期的假设正在失效，检测必须前移到凭据暴露阶段。

•︎ 数据集散节点成为高价值靶心：LiveRamp（身份解析）、Tyfone（银行平台）、DraftKings（广告与用户画像）同日上榜。数据在哪里聚合，攻击就在哪里定价。数据协作与第三方共享链路的审计优先级需要重排。

•︎ 匿名预售-实名曝光的双轨周期稳定在9天左右：N0n的#115/#116于11月2日匿名挂牌、11月11日转实名。对防守方而言，盯住匿名编号条目就是拿到预警提前量；对平台方而言，出现在预售货架上的那一刻，事件响应就应当启动，而不是等实名曝光。

•︎ 总量层面：周一100→周二66→周三36的递减斜率表明N0n脉冲已过，预计周四回到30起上下基线；但结构性风险（医疗垂直、新团伙入场速度）不随总量回落。

九、防守方建议

基于当日样本，给出五条可落地的防守动作：

•︎ 按行业标签而不是团伙名单设防：医疗健康当日占比30.6%（大健康口径）且三个团伙同时出手。医疗与公共机构应假设自己是\"新团伙默认目标池\"的一部分，优先做患者数据资产台账与离线备份演练。

•︎ 把凭据泄露监控接入日常运营：当日多家受害者的暴露口令数以千计（ORU 23,600条、GVSD 2,503条、milb 2,978条）。对自有域名做一次ParanoidLab/HudsonRock式的外部暴露盘点，把命中的口令当作已泄露处置——这比等入侵信号便宜两个数量级。

•︎ 对抗BYOVD：启用微软易受攻击驱动黑名单（HVCI/内存完整性）、限制内核驱动加载策略。Osiris的技术路径证明\"先杀EDR再加密\"仍是主流，EDR的生存性本身就是攻击面。

•︎ 数据协作与第三方共享链路审计：LiveRamp与Tyfone案例说明，你的数据在别人手里的每一份副本都是你的攻击面。对数据协作平台、身份供应商、外包服务商做共享数据清单，评估\"对方被拖库时我损失什么\"。

•︎ 把监管报告义务写进事件响应预案：Garden Valley案例显示勒索话术已能精确引用行业隐私法规。预案里明确\"泄露后多长时间内向哪个监管机构报告、报告什么\"，把合规动作从恐慌决策变成流程执行，同时压缩对方利用监管恐惧的谈判空间。

一句话总结当日：总量在回落，但攻击者在垂直化、现货化和供应链化——防守的坐标系要从\"防住一次入侵\"换成\"数据落地即假设泄露\"。