<p>親俄黑客組織 CyberVolk 在沉默數月後重新出現，推出了一項新的勒索軟件服務。這其中有一些壞消息和一些好消息。</p>
<p>首先，壞消息是：CyberVolk 2.x（又名 VolkLocker）勒索軟件即服務（RaaS）操作在夏末推出。它完全通過 Telegram 運行，這使得那些技術水平不高的合作伙伴也能輕鬆鎖定文件並要求支付贖金。</p>
<p>CyberVolk 的成員可以利用平台內置的自動化功能生成有效載荷、協調勒索軟件攻擊，並管理他們的非法商業操作，所有操作均通過 Telegram 進行。</p>
<p>但好消息是：在調試代碼時，勒索軟件開發者變得粗心，硬編碼了主密鑰——這個密鑰加密受害者系統上的所有文件——到可執行文件中。根據 SentinelOne 高級威脅研究員 Jim Walter 的説法，這可能允許受害者在不支付贖金的情況下恢復被加密的數據，他在週四的報告中詳細介紹了該團伙的復甦和代碼缺陷。</p>
<p>信息安全公司和其他安全研究人員去年首次記錄了這個親俄黑客組織。與類似的政治動機團體如 CyberArmyofRussia_Reborn 和 NoName057(16) 不同，美國政府已將其與俄羅斯的 GRU 軍事情報機構及弗拉基米爾·普京本人聯繫在一起，CyberVolk 似乎與克里姆林宮沒有直接聯繫。</p>
<p>與這些其他黑客組織不同的是，後者主要依靠低級別的分佈式拒絕服務（DDoS）攻擊來攻擊受害者，CyberVolk 還使用勒索軟件。</p>
<p>根據 Walter 的説法，該團伙在 2025 年大部分時間裏潛伏在陰暗的數字地下，因 Telegram 多次禁止其活動。然而，CyberVolk 在 8 月以新的勒索軟件即服務操作重新出現。</p>
<h3>認識 VolkLocker</h3>
<p>&#34;我們的分析顯示，這個操作在擴展的挑戰中掙扎：在複雜的 Telegram 自動化上前進一步，而在有效載荷上又後退一步，保留了測試工件，使受害者能夠自我恢復，&#34;Walter 寫道。</p>
<p>VolkLocker 的有效載荷是用 Go 編寫的，惡意軟件的版本可以在 Linux 和 Windows 機器上運行，並且都包括內置的 Telegram 自動化用於命令和控制（C2）。</p>
<p>構建新 VolkLocker 有效載荷的操作員需要提供比特幣地址、Telegram 機器人令牌 ID、Telegram 聊天 ID、加密截止日期、所需文件擴展名和自毀選項。</p>
<p>實際上，CyberVolk 的所有通信、購買和支持都通過 Telegram 進行。默認的 Telegram C2 支持的命令包括向感染的受害者發送消息、啓動文件解密、列出活躍受害者、向特定受害者發送消息以及檢索受害者系統信息等。</p>
<p>然而，Telegram C2 是可定製的，我們被告知一些勒索軟件操作員開發了額外的功能，包括鍵盤記錄和遠程訪問木馬（RAT）命令。</p>
<p>在 11 月，勒索軟件操作員開始宣傳獨立的 RAT 和鍵盤記錄工具，並宣傳了以下定價模型：</p>
<ul>
<li>RaaS（單一操作系統）：800-1,100 美元</li>
<li>RaaS（Linux + Windows）：1,600-2,200 美元</li>
<li>獨立 RAT 或鍵盤記錄器：每個 500 美元</li>
</ul>
<p>一旦勒索軟件在受害者的系統上部署，它會提升權限，繞過 Windows 用户帳户控制（UAC），以管理員級別的權限執行惡意軟件。它根據在惡意軟件代碼中配置的特定路徑和擴展名的排除列表來確定加密哪些文件，並使用 AES-256 GCM 模式（Galois/Counter 模式）進行文件加密。</p>
<ul>
<li>美國引渡一名被指控為俄羅斯黑客攻擊肉類加工廠的烏克蘭女性</li>
<li>黑客行動復甦——但不要被愚弄，這通常是國家支持的蒙面暴徒</li>
<li>勒索軟件並不總是關於金錢：政府間諜也有目標</li>
<li>193 名網絡犯罪分子被捕，因策劃 “暴力即服務” 而被指控</li>
</ul>
<p>但是，開發者在這裏犯了錯誤：VolkLocker 並不動態生成加密密鑰，而是將其硬編碼為十六進制字符串，並在%TEMP% 文件夾中寫入包含完整主加密密鑰的明文文件。</p>
<p>明文主密鑰&#34;很可能代表了意外在生產版本中發佈的測試工件，&#34;Walter 寫道。&#34;CyberVolk 的操作員可能並不知道合作伙伴正在部署仍嵌入 backupMasterKey() 函數的版本。&#34;</p>
<p>這&#34;表明該操作在積極招募技術水平較低的合作伙伴時，難以維持質量控制，&#34;他補充道。</p>
<p>_The Register_已向 SentinelOne 詢問新 RaaS 操作的規模，包括自復甦以來感染了多少組織，並將在收到安全公司的回覆後更新此故事。</p>
<p>儘管存在主密鑰的疏忽，Walter 表示網絡防禦者應該將&#34;CyberVolk 對基於 Telegram 的自動化的採用視為政治動機威脅行為者之間更廣泛趨勢的反映。這些團體繼續降低勒索軟件部署的門檻，同時在提供便利的犯罪服務基礎設施的平台上運營。&#34; ®</p>

<p>CyberVolk，一個親俄的黑客組織，推出了一項新的勒索軟件服務，名為 VolkLocker，使用 Telegram 進行操作。儘管其自動化程度較高，但他們在明文中硬編碼了主密鑰，使受害者可以在不支付贖金的情況下恢復數據。CyberVolk 與克里姆林宮沒有直接聯繫，並且同時使用勒索軟件和 DDoS 攻擊。該組織在質量控制方面面臨困難，招募的附屬成員技能較低。該組織提供勒索軟件和獨立的遠程訪問木馬/鍵盤記錄工具，反映了政治動機的威脅行為者在便利平台上進行犯罪活動的更廣泛趨勢</p>

<p>CyberVolk, a pro-Russian hacktivist crew, is back after months of silence with a new ransomware service. There's some bad news and some good news here.</p>
<div class="lb-trans"><p>親俄黑客組織 CyberVolk 在沉默數月後重新出現，推出了一項新的勒索軟件服務。這其中有一些壞消息和一些好消息。</p>
</div><p>First, the bad news: the CyberVolk 2.x (aka VolkLocker) ransomware-as-a-service operation that launched in late summer. It's run entirely through Telegram, which makes it very easy for affiliates that aren't that tech savvy to lock files and demand a ransom payment.</p>
<div class="lb-trans"><p>首先，壞消息是：CyberVolk 2.x（又名 VolkLocker）勒索軟件即服務（RaaS）操作在夏末推出。它完全通過 Telegram 運行，這使得那些技術水平不高的合作伙伴也能輕鬆鎖定文件並要求支付贖金。</p>
</div><p>CyberVolk's soldiers can use the platform's built-in automation to generate payloads, coordinate ransomware attacks, and manage their illicit business operations, conducting everything through Telegram.</p>
<div class="lb-trans"><p>CyberVolk 的成員可以利用平台內置的自動化功能生成有效載荷、協調勒索軟件攻擊，並管理他們的非法商業操作，所有操作均通過 Telegram 進行。</p>
</div><p>But here's the good news: the ransomware slingers got sloppy when it came time to debug their code and hardcoded the master keys - this same key encrypts all files on a victim's system - into the executable files. This could allow victims to recover encrypted data without paying the extortion fee, according to SentinelOne senior threat researcher Jim Walter, who detailed the gang's resurgence and flawed code in a Thursday report.</p>
<div class="lb-trans"><p>但好消息是：在調試代碼時，勒索軟件開發者變得粗心，硬編碼了主密鑰——這個密鑰加密受害者系統上的所有文件——到可執行文件中。根據 SentinelOne 高級威脅研究員 Jim Walter 的説法，這可能允許受害者在不支付贖金的情況下恢復被加密的數據，他在週四的報告中詳細介紹了該團伙的復甦和代碼缺陷。</p>
</div><p>The infosec shop and other security researchers first documented the pro-Russia hacktivist collective last year. Unlike similar politically minded crews such as CyberArmyofRussia_Reborn and NoName057(16), which the US government has linked to Russia's GRU military intelligence agency and to Vladimir Putin himself, CyberVolk doesn't seem to have direct ties to the Kremlin.</p>
<div class="lb-trans"><p>信息安全公司和其他安全研究人員去年首次記錄了這個親俄黑客組織。與類似的政治動機團體如 CyberArmyofRussia_Reborn 和 NoName057(16) 不同，美國政府已將其與俄羅斯的 GRU 軍事情報機構及弗拉基米爾·普京本人聯繫在一起，CyberVolk 似乎與克里姆林宮沒有直接聯繫。</p>
</div><p>Also unlike these other hacktivist gangs, which primarily rely on nuisance-level distributed denial of service (DDoS) attacks to assault their victims, CyberVolk also uses ransomware.</p>
<div class="lb-trans"><p>與這些其他黑客組織不同的是，後者主要依靠低級別的分佈式拒絕服務（DDoS）攻擊來攻擊受害者，CyberVolk 還使用勒索軟件。</p>
</div><p>According to Walter, the gang slunk back into the shadowy digital underground for most of 2025 after Telegram banned it multiple times. However, CyberVolk returned in August with a new ransomware-as-a-service operation.</p>
<div class="lb-trans"><p>根據 Walter 的説法，該團伙在 2025 年大部分時間裏潛伏在陰暗的數字地下，因 Telegram 多次禁止其活動。然而，CyberVolk 在 8 月以新的勒索軟件即服務操作重新出現。</p>
</div><h3>Meet VolkLocker</h3>
<div class="lb-trans"><h3>認識 VolkLocker</h3>
</div><p>&#34;Our analysis reveals an operation struggling with the challenges of expansion: taking one step forward with sophisticated Telegram automation, and one step backward with payloads that retain test artifacts enabling victim self-recovery,&#34; Walter wrote.</p>
<div class="lb-trans"><p>&#34;我們的分析顯示，這個操作在擴展的挑戰中掙扎：在複雜的 Telegram 自動化上前進一步，而在有效載荷上又後退一步，保留了測試工件，使受害者能夠自我恢復，&#34;Walter 寫道。</p>
</div><p>The VolkLocker payloads are written in Go, with versions of the malware that run on both Linux and Windows machines, and they all include built-in Telegram automation for command and control (C2).</p>
<div class="lb-trans"><p>VolkLocker 的有效載荷是用 Go 編寫的，惡意軟件的版本可以在 Linux 和 Windows 機器上運行，並且都包括內置的 Telegram 自動化用於命令和控制（C2）。</p>
</div><p>Operators building new VolkLocker payloads are required to provide a bitcoin address, Telegram bot token ID, Telegram chat ID, encryption deadline, desired file extension, and self-destruct options.</p>
<div class="lb-trans"><p>構建新 VolkLocker 有效載荷的操作員需要提供比特幣地址、Telegram 機器人令牌 ID、Telegram 聊天 ID、加密截止日期、所需文件擴展名和自毀選項。</p>
</div><p>In fact, all of CyberVolk communication, purchasing, and support occur through Telegram. The default Telegram C2 supports commands that message infected victims, initiate file decryption, list active victims, message specific victims, and retrieve victim system information, among others.</p>
<div class="lb-trans"><p>實際上，CyberVolk 的所有通信、購買和支持都通過 Telegram 進行。默認的 Telegram C2 支持的命令包括向感染的受害者發送消息、啓動文件解密、列出活躍受害者、向特定受害者發送消息以及檢索受害者系統信息等。</p>
</div><p>The Telegram C2 is customizable, however, and we're told some ransomware operators have developed additional capabilities including keylogging and remote access trojan (RAT) commands.</p>
<div class="lb-trans"><p>然而，Telegram C2 是可定製的，我們被告知一些勒索軟件操作員開發了額外的功能，包括鍵盤記錄和遠程訪問木馬（RAT）命令。</p>
</div><p>In November, the ransomware operators began advertising standalone RAT and keylogger tools and advertised these pricing models:</p>
<div class="lb-trans"><p>在 11 月，勒索軟件操作員開始宣傳獨立的 RAT 和鍵盤記錄工具，並宣傳了以下定價模型：</p>
</div><ul>
<li>RaaS (single OS): $800-$1,100 USD</li>
<li>RaaS (Linux + Windows): $1,600-$2,200 USD</li>
<li>Standalone RAT or Keylogger: $500 USD each</li>
</ul>
<div class="lb-trans"><ul>
<li>RaaS（單一操作系統）：800-1,100 美元</li>
<li>RaaS（Linux + Windows）：1,600-2,200 美元</li>
<li>獨立 RAT 或鍵盤記錄器：每個 500 美元</li>
</ul>
</div><p>Once the ransomware has been deployed on victims' systems, it escalates privileges, bypassing Windows User Account Control (UAC) to execute malware with admin-level privileges. It determines which files to encrypt based on exclusion lists for specific paths and extensions that have been configured in the malware's code, and the ransomware uses AES-256 in GCM mode (Galois/Counter Mode) for file encryption.</p>
<div class="lb-trans"><p>一旦勒索軟件在受害者的系統上部署，它會提升權限，繞過 Windows 用户帳户控制（UAC），以管理員級別的權限執行惡意軟件。它根據在惡意軟件代碼中配置的特定路徑和擴展名的排除列表來確定加密哪些文件，並使用 AES-256 GCM 模式（Galois/Counter 模式）進行文件加密。</p>
</div><ul>
<li>US extradites Ukrainian woman accused of hacking meat processing plant for Russia</li>
<li>Hacktivism resurges – but don't be fooled, it's often state-backed goons in masks</li>
<li>Ransomware isn't always about the money: Government spies have objectives, too</li>
<li>193 cybercrims arrested, accused of plotting 'violence-as-a-service'</li>
</ul>
<div class="lb-trans"><ul>
<li>美國引渡一名被指控為俄羅斯黑客攻擊肉類加工廠的烏克蘭女性</li>
<li>黑客行動復甦——但不要被愚弄，這通常是國家支持的蒙面暴徒</li>
<li>勒索軟件並不總是關於金錢：政府間諜也有目標</li>
<li>193 名網絡犯罪分子被捕，因策劃 “暴力即服務” 而被指控</li>
</ul>
</div><p>But, here's where the malware developers screwed up: VolkLocker doesn't dynamically generate encryption keys, but rather hardcodes them as hex strings, and writes a plaintext file with the complete master encryption key in the %TEMP% folder.</p>
<div class="lb-trans"><p>但是，開發者在這裏犯了錯誤：VolkLocker 並不動態生成加密密鑰，而是將其硬編碼為十六進制字符串，並在%TEMP% 文件夾中寫入包含完整主加密密鑰的明文文件。</p>
</div><p>The plaintext master key &#34;likely represents a test artifact inadvertently shipped in production builds,&#34; Walter wrote. &#34;CyberVolk operators may be unaware that affiliates are deploying builds with the backupMasterKey() function still embedded.&#34;</p>
<div class="lb-trans"><p>明文主密鑰&#34;很可能代表了意外在生產版本中發佈的測試工件，&#34;Walter 寫道。&#34;CyberVolk 的操作員可能並不知道合作伙伴正在部署仍嵌入 backupMasterKey() 函數的版本。&#34;</p>
</div><p>This &#34;suggests that the operation is struggling to maintain quality control while aggressively recruiting lesser-skilled affiliates,&#34; he added.</p>
<div class="lb-trans"><p>這&#34;表明該操作在積極招募技術水平較低的合作伙伴時，難以維持質量控制，&#34;他補充道。</p>
</div><p><em>The Register</em> has asked SentinelOne about the size of the new RaaS operation, including how many organizations it has infected since its resurgence, and will update this story when we hear back from the security firm.</p>
<div class="lb-trans"><p>_The Register_已向 SentinelOne 詢問新 RaaS 操作的規模，包括自復甦以來感染了多少組織，並將在收到安全公司的回覆後更新此故事。</p>
</div><p>Despite the master key oversight, Walter says network defenders should view &#34;CyberVolk's adoption of Telegram-based automation as a reflection of broader trends among politically motivated threat actors. These groups continue to lower barriers for ransomware deployment while operating on platforms that provide convenient infrastructure for criminal services.&#34; ®</p>
<div class="lb-trans"><p>儘管存在主密鑰的疏忽，Walter 表示網絡防禦者應該將&#34;CyberVolk 對基於 Telegram 的自動化的採用視為政治動機威脅行為者之間更廣泛趨勢的反映。這些團體繼續降低勒索軟件部署的門檻，同時在提供便利的犯罪服務基礎設施的平台上運營。&#34; ®</p>
</div>

俄羅斯黑客推出了一種簡單的勒索軟件服務，但卻以明文形式存儲密鑰