<p>亲俄黑客组织 CyberVolk 在沉默数月后重新出现，推出了一项新的勒索软件服务。这其中有一些坏消息和一些好消息。</p>
<p>首先，坏消息是：CyberVolk 2.x（又名 VolkLocker）勒索软件即服务（RaaS）操作在夏末推出。它完全通过 Telegram 运行，这使得那些技术水平不高的合作伙伴也能轻松锁定文件并要求支付赎金。</p>
<p>CyberVolk 的成员可以利用平台内置的自动化功能生成有效载荷、协调勒索软件攻击，并管理他们的非法商业操作，所有操作均通过 Telegram 进行。</p>
<p>但好消息是：在调试代码时，勒索软件开发者变得粗心，硬编码了主密钥——这个密钥加密受害者系统上的所有文件——到可执行文件中。根据 SentinelOne 高级威胁研究员 Jim Walter 的说法，这可能允许受害者在不支付赎金的情况下恢复被加密的数据，他在周四的报告中详细介绍了该团伙的复苏和代码缺陷。</p>
<p>信息安全公司和其他安全研究人员去年首次记录了这个亲俄黑客组织。与类似的政治动机团体如 CyberArmyofRussia_Reborn 和 NoName057(16) 不同，美国政府已将其与俄罗斯的 GRU 军事情报机构及弗拉基米尔·普京本人联系在一起，CyberVolk 似乎与克里姆林宫没有直接联系。</p>
<p>与这些其他黑客组织不同的是，后者主要依靠低级别的分布式拒绝服务（DDoS）攻击来攻击受害者，CyberVolk 还使用勒索软件。</p>
<p>根据 Walter 的说法，该团伙在 2025 年大部分时间里潜伏在阴暗的数字地下，因 Telegram 多次禁止其活动。然而，CyberVolk 在 8 月以新的勒索软件即服务操作重新出现。</p>
<h3>认识 VolkLocker</h3>
<p>&#34;我们的分析显示，这个操作在扩展的挑战中挣扎：在复杂的 Telegram 自动化上前进一步，而在有效载荷上又后退一步，保留了测试工件，使受害者能够自我恢复，&#34;Walter 写道。</p>
<p>VolkLocker 的有效载荷是用 Go 编写的，恶意软件的版本可以在 Linux 和 Windows 机器上运行，并且都包括内置的 Telegram 自动化用于命令和控制（C2）。</p>
<p>构建新 VolkLocker 有效载荷的操作员需要提供比特币地址、Telegram 机器人令牌 ID、Telegram 聊天 ID、加密截止日期、所需文件扩展名和自毁选项。</p>
<p>实际上，CyberVolk 的所有通信、购买和支持都通过 Telegram 进行。默认的 Telegram C2 支持的命令包括向感染的受害者发送消息、启动文件解密、列出活跃受害者、向特定受害者发送消息以及检索受害者系统信息等。</p>
<p>然而，Telegram C2 是可定制的，我们被告知一些勒索软件操作员开发了额外的功能，包括键盘记录和远程访问木马（RAT）命令。</p>
<p>在 11 月，勒索软件操作员开始宣传独立的 RAT 和键盘记录工具，并宣传了以下定价模型：</p>
<ul>
<li>RaaS（单一操作系统）：800-1,100 美元</li>
<li>RaaS（Linux + Windows）：1,600-2,200 美元</li>
<li>独立 RAT 或键盘记录器：每个 500 美元</li>
</ul>
<p>一旦勒索软件在受害者的系统上部署，它会提升权限，绕过 Windows 用户帐户控制（UAC），以管理员级别的权限执行恶意软件。它根据在恶意软件代码中配置的特定路径和扩展名的排除列表来确定加密哪些文件，并使用 AES-256 GCM 模式（Galois/Counter 模式）进行文件加密。</p>
<ul>
<li>美国引渡一名被指控为俄罗斯黑客攻击肉类加工厂的乌克兰女性</li>
<li>黑客行动复苏——但不要被愚弄，这通常是国家支持的蒙面暴徒</li>
<li>勒索软件并不总是关于金钱：政府间谍也有目标</li>
<li>193 名网络犯罪分子被捕，因策划 “暴力即服务” 而被指控</li>
</ul>
<p>但是，开发者在这里犯了错误：VolkLocker 并不动态生成加密密钥，而是将其硬编码为十六进制字符串，并在%TEMP% 文件夹中写入包含完整主加密密钥的明文文件。</p>
<p>明文主密钥&#34;很可能代表了意外在生产版本中发布的测试工件，&#34;Walter 写道。&#34;CyberVolk 的操作员可能并不知道合作伙伴正在部署仍嵌入 backupMasterKey() 函数的版本。&#34;</p>
<p>这&#34;表明该操作在积极招募技术水平较低的合作伙伴时，难以维持质量控制，&#34;他补充道。</p>
<p>_The Register_已向 SentinelOne 询问新 RaaS 操作的规模，包括自复苏以来感染了多少组织，并将在收到安全公司的回复后更新此故事。</p>
<p>尽管存在主密钥的疏忽，Walter 表示网络防御者应该将&#34;CyberVolk 对基于 Telegram 的自动化的采用视为政治动机威胁行为者之间更广泛趋势的反映。这些团体继续降低勒索软件部署的门槛，同时在提供便利的犯罪服务基础设施的平台上运营。&#34; ®</p>

<p>CyberVolk，一个亲俄的黑客组织，推出了一项新的勒索软件服务，名为 VolkLocker，使用 Telegram 进行操作。尽管其自动化程度较高，但他们在明文中硬编码了主密钥，使受害者可以在不支付赎金的情况下恢复数据。CyberVolk 与克里姆林宫没有直接联系，并且同时使用勒索软件和 DDoS 攻击。该组织在质量控制方面面临困难，招募的附属成员技能较低。该组织提供勒索软件和独立的远程访问木马/键盘记录工具，反映了政治动机的威胁行为者在便利平台上进行犯罪活动的更广泛趋势</p>

<p>CyberVolk, a pro-Russian hacktivist crew, is back after months of silence with a new ransomware service. There's some bad news and some good news here.</p>
<div class="lb-trans"><p>亲俄黑客组织 CyberVolk 在沉默数月后重新出现，推出了一项新的勒索软件服务。这其中有一些坏消息和一些好消息。</p>
</div><p>First, the bad news: the CyberVolk 2.x (aka VolkLocker) ransomware-as-a-service operation that launched in late summer. It's run entirely through Telegram, which makes it very easy for affiliates that aren't that tech savvy to lock files and demand a ransom payment.</p>
<div class="lb-trans"><p>首先，坏消息是：CyberVolk 2.x（又名 VolkLocker）勒索软件即服务（RaaS）操作在夏末推出。它完全通过 Telegram 运行，这使得那些技术水平不高的合作伙伴也能轻松锁定文件并要求支付赎金。</p>
</div><p>CyberVolk's soldiers can use the platform's built-in automation to generate payloads, coordinate ransomware attacks, and manage their illicit business operations, conducting everything through Telegram.</p>
<div class="lb-trans"><p>CyberVolk 的成员可以利用平台内置的自动化功能生成有效载荷、协调勒索软件攻击，并管理他们的非法商业操作，所有操作均通过 Telegram 进行。</p>
</div><p>But here's the good news: the ransomware slingers got sloppy when it came time to debug their code and hardcoded the master keys - this same key encrypts all files on a victim's system - into the executable files. This could allow victims to recover encrypted data without paying the extortion fee, according to SentinelOne senior threat researcher Jim Walter, who detailed the gang's resurgence and flawed code in a Thursday report.</p>
<div class="lb-trans"><p>但好消息是：在调试代码时，勒索软件开发者变得粗心，硬编码了主密钥——这个密钥加密受害者系统上的所有文件——到可执行文件中。根据 SentinelOne 高级威胁研究员 Jim Walter 的说法，这可能允许受害者在不支付赎金的情况下恢复被加密的数据，他在周四的报告中详细介绍了该团伙的复苏和代码缺陷。</p>
</div><p>The infosec shop and other security researchers first documented the pro-Russia hacktivist collective last year. Unlike similar politically minded crews such as CyberArmyofRussia_Reborn and NoName057(16), which the US government has linked to Russia's GRU military intelligence agency and to Vladimir Putin himself, CyberVolk doesn't seem to have direct ties to the Kremlin.</p>
<div class="lb-trans"><p>信息安全公司和其他安全研究人员去年首次记录了这个亲俄黑客组织。与类似的政治动机团体如 CyberArmyofRussia_Reborn 和 NoName057(16) 不同，美国政府已将其与俄罗斯的 GRU 军事情报机构及弗拉基米尔·普京本人联系在一起，CyberVolk 似乎与克里姆林宫没有直接联系。</p>
</div><p>Also unlike these other hacktivist gangs, which primarily rely on nuisance-level distributed denial of service (DDoS) attacks to assault their victims, CyberVolk also uses ransomware.</p>
<div class="lb-trans"><p>与这些其他黑客组织不同的是，后者主要依靠低级别的分布式拒绝服务（DDoS）攻击来攻击受害者，CyberVolk 还使用勒索软件。</p>
</div><p>According to Walter, the gang slunk back into the shadowy digital underground for most of 2025 after Telegram banned it multiple times. However, CyberVolk returned in August with a new ransomware-as-a-service operation.</p>
<div class="lb-trans"><p>根据 Walter 的说法，该团伙在 2025 年大部分时间里潜伏在阴暗的数字地下，因 Telegram 多次禁止其活动。然而，CyberVolk 在 8 月以新的勒索软件即服务操作重新出现。</p>
</div><h3>Meet VolkLocker</h3>
<div class="lb-trans"><h3>认识 VolkLocker</h3>
</div><p>&#34;Our analysis reveals an operation struggling with the challenges of expansion: taking one step forward with sophisticated Telegram automation, and one step backward with payloads that retain test artifacts enabling victim self-recovery,&#34; Walter wrote.</p>
<div class="lb-trans"><p>&#34;我们的分析显示，这个操作在扩展的挑战中挣扎：在复杂的 Telegram 自动化上前进一步，而在有效载荷上又后退一步，保留了测试工件，使受害者能够自我恢复，&#34;Walter 写道。</p>
</div><p>The VolkLocker payloads are written in Go, with versions of the malware that run on both Linux and Windows machines, and they all include built-in Telegram automation for command and control (C2).</p>
<div class="lb-trans"><p>VolkLocker 的有效载荷是用 Go 编写的，恶意软件的版本可以在 Linux 和 Windows 机器上运行，并且都包括内置的 Telegram 自动化用于命令和控制（C2）。</p>
</div><p>Operators building new VolkLocker payloads are required to provide a bitcoin address, Telegram bot token ID, Telegram chat ID, encryption deadline, desired file extension, and self-destruct options.</p>
<div class="lb-trans"><p>构建新 VolkLocker 有效载荷的操作员需要提供比特币地址、Telegram 机器人令牌 ID、Telegram 聊天 ID、加密截止日期、所需文件扩展名和自毁选项。</p>
</div><p>In fact, all of CyberVolk communication, purchasing, and support occur through Telegram. The default Telegram C2 supports commands that message infected victims, initiate file decryption, list active victims, message specific victims, and retrieve victim system information, among others.</p>
<div class="lb-trans"><p>实际上，CyberVolk 的所有通信、购买和支持都通过 Telegram 进行。默认的 Telegram C2 支持的命令包括向感染的受害者发送消息、启动文件解密、列出活跃受害者、向特定受害者发送消息以及检索受害者系统信息等。</p>
</div><p>The Telegram C2 is customizable, however, and we're told some ransomware operators have developed additional capabilities including keylogging and remote access trojan (RAT) commands.</p>
<div class="lb-trans"><p>然而，Telegram C2 是可定制的，我们被告知一些勒索软件操作员开发了额外的功能，包括键盘记录和远程访问木马（RAT）命令。</p>
</div><p>In November, the ransomware operators began advertising standalone RAT and keylogger tools and advertised these pricing models:</p>
<div class="lb-trans"><p>在 11 月，勒索软件操作员开始宣传独立的 RAT 和键盘记录工具，并宣传了以下定价模型：</p>
</div><ul>
<li>RaaS (single OS): $800-$1,100 USD</li>
<li>RaaS (Linux + Windows): $1,600-$2,200 USD</li>
<li>Standalone RAT or Keylogger: $500 USD each</li>
</ul>
<div class="lb-trans"><ul>
<li>RaaS（单一操作系统）：800-1,100 美元</li>
<li>RaaS（Linux + Windows）：1,600-2,200 美元</li>
<li>独立 RAT 或键盘记录器：每个 500 美元</li>
</ul>
</div><p>Once the ransomware has been deployed on victims' systems, it escalates privileges, bypassing Windows User Account Control (UAC) to execute malware with admin-level privileges. It determines which files to encrypt based on exclusion lists for specific paths and extensions that have been configured in the malware's code, and the ransomware uses AES-256 in GCM mode (Galois/Counter Mode) for file encryption.</p>
<div class="lb-trans"><p>一旦勒索软件在受害者的系统上部署，它会提升权限，绕过 Windows 用户帐户控制（UAC），以管理员级别的权限执行恶意软件。它根据在恶意软件代码中配置的特定路径和扩展名的排除列表来确定加密哪些文件，并使用 AES-256 GCM 模式（Galois/Counter 模式）进行文件加密。</p>
</div><ul>
<li>US extradites Ukrainian woman accused of hacking meat processing plant for Russia</li>
<li>Hacktivism resurges – but don't be fooled, it's often state-backed goons in masks</li>
<li>Ransomware isn't always about the money: Government spies have objectives, too</li>
<li>193 cybercrims arrested, accused of plotting 'violence-as-a-service'</li>
</ul>
<div class="lb-trans"><ul>
<li>美国引渡一名被指控为俄罗斯黑客攻击肉类加工厂的乌克兰女性</li>
<li>黑客行动复苏——但不要被愚弄，这通常是国家支持的蒙面暴徒</li>
<li>勒索软件并不总是关于金钱：政府间谍也有目标</li>
<li>193 名网络犯罪分子被捕，因策划 “暴力即服务” 而被指控</li>
</ul>
</div><p>But, here's where the malware developers screwed up: VolkLocker doesn't dynamically generate encryption keys, but rather hardcodes them as hex strings, and writes a plaintext file with the complete master encryption key in the %TEMP% folder.</p>
<div class="lb-trans"><p>但是，开发者在这里犯了错误：VolkLocker 并不动态生成加密密钥，而是将其硬编码为十六进制字符串，并在%TEMP% 文件夹中写入包含完整主加密密钥的明文文件。</p>
</div><p>The plaintext master key &#34;likely represents a test artifact inadvertently shipped in production builds,&#34; Walter wrote. &#34;CyberVolk operators may be unaware that affiliates are deploying builds with the backupMasterKey() function still embedded.&#34;</p>
<div class="lb-trans"><p>明文主密钥&#34;很可能代表了意外在生产版本中发布的测试工件，&#34;Walter 写道。&#34;CyberVolk 的操作员可能并不知道合作伙伴正在部署仍嵌入 backupMasterKey() 函数的版本。&#34;</p>
</div><p>This &#34;suggests that the operation is struggling to maintain quality control while aggressively recruiting lesser-skilled affiliates,&#34; he added.</p>
<div class="lb-trans"><p>这&#34;表明该操作在积极招募技术水平较低的合作伙伴时，难以维持质量控制，&#34;他补充道。</p>
</div><p><em>The Register</em> has asked SentinelOne about the size of the new RaaS operation, including how many organizations it has infected since its resurgence, and will update this story when we hear back from the security firm.</p>
<div class="lb-trans"><p>_The Register_已向 SentinelOne 询问新 RaaS 操作的规模，包括自复苏以来感染了多少组织，并将在收到安全公司的回复后更新此故事。</p>
</div><p>Despite the master key oversight, Walter says network defenders should view &#34;CyberVolk's adoption of Telegram-based automation as a reflection of broader trends among politically motivated threat actors. These groups continue to lower barriers for ransomware deployment while operating on platforms that provide convenient infrastructure for criminal services.&#34; ®</p>
<div class="lb-trans"><p>尽管存在主密钥的疏忽，Walter 表示网络防御者应该将&#34;CyberVolk 对基于 Telegram 的自动化的采用视为政治动机威胁行为者之间更广泛趋势的反映。这些团体继续降低勒索软件部署的门槛，同时在提供便利的犯罪服务基础设施的平台上运营。&#34; ®</p>
</div>

俄罗斯黑客推出了一种简单的勒索软件服务，但却以明文形式存储密钥