2026-10-16 13:01:11 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

黑客组织ShinyHunters开始招人了 | 继ShinyHunters三名团伙被逮捕后抛出RaaS“加盟计划”：1000美元入会、80/20分成

原创

NightTeam
NightTeam

夜组OSINT

2026年10月15日 07:30
青海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

从大规模数据窃取、企业勒索到招募外部技术人员，ShinyHunters正在展示一种更加复杂的网络犯罪协作形态。

近日，一份以知名网络犯罪组织ShinyHunters名义发布、署名为“SH”的英文招募公告引起关注。

公告标题为《SHINYHUNTERS AFFILIATE PROGRAM — RANSOMWARE-AS-A-SERVICE（RaaS）》，即“ShinyHunters附属成员计划——勒索软件即服务”。

与常见的地下论坛数据泄露广告、初始访问权限交易和勒索受害者公告不同，这份材料的目标不是向受害企业索要赎金，而是面向地下网络犯罪生态招募新的参与者。

公告披露了一套相对明确的组织合作制度：附属成员获得80%的收益，运营团队获得20%；申请者需要支付1000美元入会费，并接受一个月的评估；运营方声称将向通过筛选的参与者提供工具、访问权限、控制面板及相关基础设施。

配套PDF还提供了通信邮箱、PGP公钥以及Session通信标识。

如果这些安排得到实际执行，ShinyHunters可能正在尝试把自身品牌、技术资源和勒索活动转化为一个可以持续吸纳外部人员的犯罪服务体系。

值得注意的是，这份材料出现的时间，恰好处于ShinyHunters受到国际执法部门集中调查、相关嫌疑人陆续被拘捕的时期。

这就引出了一个更值得研究的问题：

当一个网络犯罪组织的核心人员不断受到打击，其品牌、攻击基础设施和勒索业务，是否仍然能够通过加盟制维持运转？

从直接实施攻击到招募“合作伙伴”

根据公告，ShinyHunters声称其合作模式主要由开发人员（Developers）、附属成员（Affiliates）和运营团队（Operators）构成。

开发人员负责提供软件和相关基础设施，附属成员利用这些资源开展活动，组织运营者则承担管理、协调和收益分配职责。

这一描述与传统勒索软件即服务模式具有一定相似性。

传统RaaS运营者往往掌握核心勒索软件、管理平台和配套服务，但并不必然直接执行每一次入侵。外部附属成员利用其提供的技术资源实施攻击，并根据约定比例与平台分成。

ShinyHunters这份公告提出的方案，正是将技术能力与实际参与人员进行一定程度的分离。

但它并未披露具体的勒索软件名称、样本哈希、管理面板截图或技术架构。因而，目前能够确认的是材料提出了这样的合作安排，而非已经证实其实际部署了成熟的RaaS平台。

80/20分成：将勒索收益制度化

在收益分配方面，公告提出：

附属成员获得80%的收益。
ShinyHunters运营团队获得20%的收益。

从商业化犯罪模式的角度看，收益分成是吸引外围参与者的重要手段。

对于具有入侵能力但缺乏勒索运营资源的外部人员而言，他们可能希望借助已有犯罪品牌和基础设施开展活动；而运营方则希望通过统一管理，提高资源复用程度，并从不同参与者的活动中获取收益。

不过，公告并没有解释收益核算、资金托管、支付验证及内部争议处理机制。

因此，80/20应被视为该计划声称采用的分配比例，而不能直接认定为已经实际执行的财务制度。

1000美元入会费：筛选机制还是信任测试？

比收益分成更引人注意的是，ShinyHunters在公告中提出的会员准入机制。

按照原文要求，每位希望加入计划的人员，都必须先支付1000美元。

运营者声称，这笔费用不是为了团队成员的个人使用，而是用于证明申请者具有足够的诚意，并愿意接受组织管理。

公告还提出了一项退款安排：申请者通过评估后，其此前支付的费用将按照约定进行抵扣；若未能通过评估，组织承诺退还费用。

同时，申请者还需要满足一定的技术条件，包括具备软件开发、渗透测试和编程方面的能力，并且使用自己的化名参与活动。

所有成员都需要经历一个月的评估期。

在此期间，运营者声称将提供相关资源、控制面板和基础设施。

入会制度背后的三个组织意图

从威胁情报分析视角看，这种设计可能服务于不同目的。

首先是人员筛选。

地下网络犯罪生态中，假冒黑客、情报收集者、执法人员以及不具备实际技术能力的申请者都可能出现。收费和技能考核可能被运营者用于设置加入门槛。

其次是降低协作风险。

对于高度依赖匿名通信与互相信任的网络犯罪团伙而言，外部人员能否遵守规则、维持保密以及配合行动，直接影响其运营稳定性。保证金和考核制度可能被用于加强内部约束。

第三是形成平台化管理能力。

通过标准化的准入流程、资源供给和收益分成，运营者能够尝试将不同技术背景的人员纳入共同的活动框架。

但必须指出，预收费用、承诺退款和强调信任，同样可能出现在冒名招募或地下诈骗活动中。

这份公告没有提供独立的资金托管记录或实际退款证据。因此，不能据此判断所谓保证金制度是否已经真实运行。

ShinyHunters为何开始强调RaaS？

要理解这份招募公告的意义，需要先观察ShinyHunters近年来的活动变化。

ShinyHunters最初因大规模数据库窃取、数据泄露和地下数据交易而受到关注。

此后，其关联活动逐渐向企业数据勒索方向发展。

与依靠加密企业文件进行勒索的传统模式不同，部分ShinyHunters品牌下的活动更依赖敏感数据本身的价值。

攻击者在获得企业系统访问权限后，窃取内部文档、客户信息、业务数据及其他敏感资料，再以公开或出售数据为筹码向受害者施压。

2026年：攻击能力进一步扩展

2026年1月，Google Threat Intelligence Group（GTIG）与Mandiant发布调查报告，披露了多组与ShinyHunters品牌勒索活动具有联系的攻击集群。

报告将相关活动分别追踪为UNC6661、UNC6671和UNC6240。

在部分行动中，攻击者冒充企业IT支持人员，通过语音钓鱼和伪造身份认证页面获取企业单点登录凭证及多因素认证信息。

随后，攻击者利用被入侵的身份访问企业SaaS平台，窃取内部数据并实施勒索。

这些活动涉及云身份系统、Microsoft 365、Salesforce以及其他企业云服务。

值得关注的是，Google并没有简单地将使用ShinyHunters品牌的所有活动归为同一个行动主体，而是根据技术行为、基础设施和勒索通信差异，将其划分为不同的威胁集群。

这表明ShinyHunters相关生态内部存在复杂的人员协作和品牌使用关系。

到了2026年6月，Google和Mandiant又披露UNC6240利用Oracle PeopleSoft漏洞CVE-2026-35273开展入侵和勒索活动。

9月下旬，研究人员发现该威胁集群再次扩大攻击范围，涉及高等教育、技术、医疗、农业、交通和政府等多个行业。

从这些活动可以看到，ShinyHunters品牌下的威胁能力并不局限于某一种攻击手段，而是可能涉及社会工程学、身份凭证窃取、企业应用漏洞利用、数据外传和勒索谈判等不同环节。

在这种背景下，招募具备软件开发、渗透测试和编程能力的外部人员，与扩大技术资源和行动规模的需求具有一定逻辑关联。

不过，公开调查并未证明本次公告中的招募计划已经参与了上述攻击活动。

核心成员接连被捕，为何此时出现加盟计划？

这份公告另一个值得关注的因素，是它所处的时间背景。

2026年9月底至10月初，国际媒体连续报道了多起与ShinyHunters相关的执法行动。

10月3日，路透社援引消息人士报道称，一名涉嫌参与ShinyHunters活动的人员在约旦被拘留，并正在配合美国联邦调查局的调查。

10月7日，网络安全调查记者Brian Krebs进一步披露相关调查情况，指出ShinyHunters已经表现出一定的品牌延续和人员更替特征。

报道认为，近年来以ShinyHunters名义开展活动的人员，并不完全等同于该组织早期的核心成员。

一些外围网络犯罪参与者可能通过提供被盗身份凭证、初始访问资源等方式参与相关数据勒索活动，并获得相应分成。

10月9日，路透社再次报道，FBI宣布逮捕另一名被指与ShinyHunters有关的人员。

这些事件说明，ShinyHunters面临的执法压力正在持续增加。

结语：ShinyHunters可能正在成为一个不依赖固定成员的犯罪品牌

此次招募公告之所以值得关注，不只是因为它提出了1000美元的入会门槛和80/20的收益分配。

更重要的是，材料展现了一种通过人员招募、技术资源共享、准入制度和收益分配来维持网络犯罪活动的潜在组织结构。

近年来，ShinyHunters相关行动已经呈现出明显的数据勒索化、身份攻击化和多主体协作特征。

随着执法部门持续对相关人员展开调查，犯罪品牌与实际运营者之间的关系可能更加复杂。

若此次加盟制度得到实际落实，它可能使ShinyHunters从一个相对具体的网络犯罪团伙名称，进一步向由多个独立或半独立行动者共同使用的勒索业务品牌发展。

但目前，公告提出的运营制度与真实执行之间，仍存在尚未补齐的证据链。

对于威胁情报分析而言，值得持续追踪的并非某个黑客组织如何宣传自己的实力，而是这些宣传能否与真实的人员协作、攻击基础设施和勒索行为建立可验证的关联。

因为在网络犯罪生态中，一个名称可以被继承，一套工具可以被共享，而真正决定威胁持续性的，往往是背后不断重组的人员、资源和利益网络。

参考资料

原始材料：《SHINYHUNTERS AFFILIATE PROGRAM — Ransomware-as-a-Service》，7页PDF，2026年10月14日整理版。
Google Threat Intelligence：Vishing for Access — Tracking the Expansion of ShinyHunters-Branded SaaS Data Theft，2026年1月30日。
Google Threat Intelligence：ShinyHunters Renewed Mass Exploitation Campaign Targeting Oracle PeopleSoft，2026年9月。
KrebsOnSecurity：ShinyHunters Extorted Boeing Spin-off Prior to Arrests，2026年10月7日。
Reuters：FBI逮捕另一名涉嫌关联ShinyHunters的人员，2026年10月9日。

AI暗网威胁情报全球监控系统活动

全球威胁情报系统（dark.libaisec.com） 7\24实时监控数据泄露情报、网络攻击情报（融合数据泄露、勒索软件、DDoS攻击、恶意软件、访问权限售卖、网页篡改、日志泄露、网络钓鱼、漏洞情报、政治舆情等威胁事件，为政企用户提供可落地的威胁预警与响应建议。）*，包括市场、论坛、黑客组织、博客、拍卖行等全部情报。

实时预警国内威胁情报及您所关注地区和国家的数据泄露及其它威胁线索。

[