2026-10-22 14:53:58 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Black Hat USA 2026：持续干扰网络犯罪

原创

Max Luo
Max Luo

白帽子罗棋琛

2026年10月16日 07:08
中国香港

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

拆掉网络犯罪的生意：从封禁指标到持续干扰

Black Hat USA 2026 议题笔记：Deny. Disrupt. Dismantle. Breaking the Business Model of Cybercrime in the Gray Zone

安全团队很容易把“打击网络犯罪”理解成封域名、封钱包、扣服务器、抓核心成员。每一个动作都有价值，但单点成果不等于犯罪网络失去经营能力。域名几小时后换一批，初始访问经纪人转投其他勒索联盟，交易所换品牌继续提供出金，诈骗园区跨境迁移，原有供应链很快重新接上。

Carole House 的公开课件提出了一个更严格的评估框架：把勒索软件组织、杀猪盘园区和地下金融设施视为跨国有组织犯罪生态，用军事行动规划中的 ends、ways、means、中心节点、行动线和重构阻力来设计持续打击。核心目标不是获得一次漂亮的 takedown，而是让犯罪业务的获客、身份、基础设施、结算、招募和安全港同时变贵、变慢、变得不可信。

图 1：课件讨论的是如何破坏网络犯罪商业模式，而不只是如何清除一组技术指标

对企业安全团队，这套方法同样可落地：SOC 掌握基础设施与受害链路，反欺诈团队掌握账号和资金流，法务与信任安全团队掌握平台滥用，金融机构掌握支付与 mule account，政府部门负责执法、制裁和国际协作。只有把这些数据按同一行动目标组织起来，防御成果才会积累。

1、先把对手建模为生态，而不是一个恶意软件家族

课件的核心论点是：勒索软件 TCO 和诈骗园区不仅是等待起诉的犯罪团伙，而是能产生国家级后果的跨国犯罪生态。传统案件模型围绕“谁实施了哪次犯罪”组织证据；生态模型还要回答“谁提供身份、流量、托管、支付、洗钱、招募和政治保护”。

图 2：单个行为人追诉与整个犯罪生态失去再生产能力，是两个不同层次的目标

图 3：非国家行为体通过产业化分工获得高影响能力，单一执法模型很难跟上替换速度

一条勒索链至少包含初始访问、凭据与日志市场、加载器与 botnet、RaaS 平台、affiliate、数据泄露站、谈判、托管、虚拟资产转换、地下银行和安全港。诈骗链还增加广告投放、社交账号、短信/VoIP、身份材料、mule account、支付通道和强迫劳动。

yaml

criminal_ecosystem_model:acquisition: [malvertising, phishing, stolen_accounts, initial_access_broker]   execution: [loader, botnet, affiliate, ransomware_operator]   infrastructure: [registrar, hosting, reverse_proxy, bulletproof_provider]   monetization: [mule_account, vasp, otc_broker, underground_bank]   resilience: [replacement_supplier, mirror_domain, backup_wallet, safe_haven]   governance: [reputation, escrow, arbitration, recruitment, state_patronage]

这份模型的用途不是贴标签，而是找可替代性。某节点下线后，如果相同服务能在一天内从三家供应商补齐，它不是中心节点；如果多个犯罪网络依赖同一出金、身份或通信设施，打击它才可能产生跨网络效果。

2、行动之前先定义可观察的结束状态

课件用 Strategy = Ends + Ways + Means 强调从 end state 反推工具。结束状态不能写成“打击某组织”或“加强协作”，而应是有时间边界、可观测的系统效果：赎金收入下降、重构时间延长、affiliate 招募下降、安全港合作改善、关键基础设施损失减少。

图 4：没有结束状态，制裁、扣押和公告只能成为互不相干的动作清单

企业参与联合行动时也需要同样的目标合同：

yaml

campaign_objective:adversary_network:example-loader-ecosystemobservation_window_days:180end_state:-metric:median_reconstitution_hoursbaseline:18target:168-metric:weekly_successful_initial_accessbaseline:420target:100-metric:payment_completion_ratebaseline:0.31target:0.10-metric:replacement_infrastructure_cost_indexbaseline:1.0target:3.0guardrails:-preserve_victim_reporting-minimize_service_disruption_to_benign_users-retain_evidence_and_chain_of_custody

指标要同时覆盖防护效果和对手经营成本。只统计扣了多少域名，会奖励“数量多、替换快”的低价值行动；只统计逮捕人数，会忽略低层 affiliate 高度可替代；只统计受害报告，又会被报告率变化扭曲。

3、中心节点分析要与可替代性一起做

课件引入 Target System Analysis 与 Center of Gravity 分析，将关键金融、技术和国家保护节点放进同一张网络。这里的“中心”不是连接度最高的 IP，而是其失效会迫使整个系统改变行为的能力。

图 5：优先级应围绕关键网络和依赖关系，而不是围绕某一批最新 IOC

可以为每个节点计算四个维度：被多少独立犯罪链依赖；替代供应商数量；替换所需时间；同时触达它需要多少司法辖区或私营合作方。

python

from dataclasses import dataclass  @dataclass(frozen=True)classNode:     dependency_count: int     replacement_count: int     replacement_days: float     jurisdiction_friction: float# 0.0—1.0，越高越难协作     evidence_confidence: float# 0.0—1.0defdisruption_priority(n: Node) -> float:     scarcity = 1.0 / (1.0 + n.replacement_count)     persistence = min(n.replacement_days / 30.0, 1.0)     reach = min(n.dependency_count / 20.0, 1.0)     feasibility = 1.0 - n.jurisdiction_friction     return n.evidence_confidence * (         0.35 * reach + 0.30 * scarcity + 0.20 * persistence + 0.15 * feasibility     )

分数不是自动执法决定，只是让分析假设可审查。证据置信度必须作为乘数；再关键的节点，如果归因薄弱，也不应因图算法分高而采取不可逆动作。

4、“斩首”是否有效，取决于网络结构和同步压力

课件区分两种情况：层级化结构、基础设施同时受压、整体已接近不可运行阈值时，移除核心人物可能有效；模块化、供应商可替换、安全港与资金条件完好时，斩首只会触发快速迁移。

图 6：对模块化犯罪网络，持续多节点干扰、信任污染和阻断重构通常比单点移除更重要

因此，行动包应同时覆盖能力、资金、人员和恢复条件：

text

T0 - 证据冻结：保全镜像、账户、钱包、域名和通信关系 T1 - 能力拒止：同步控制域名、主机、botnet 与关键服务 T1 - 资金拦截：冻结已识别资产，通知合规交易与银行网络 T1 - 人员压力：起诉、拘捕、奖励、旅行与签证措施 T1+ - 信任破坏：公开经过审查的证据，降低 affiliate/供应商信心 T2 - 重构拒止：监控替代域名、钱包、品牌、服务商与招募渠道 T3 - 防御修复：把行动所得 TTP/IOC 回灌到平台和企业控制

关键在同步。只下架服务器，资金和人员不动，犯罪方会恢复；只制裁钱包，非合作辖区和新出金网络会承接；只起诉人员而没有先降低网络能力，高价值目标可能转移资产和基础设施。

5、工具选择要看持续性，不要默认“再加一轮制裁”

课件比较了制裁、实时资金拦截、网络行动与基础设施扣押、起诉、外交压力和监管措施。它们在资源投入、抗重构能力、对手成本与依赖条件上各不相同。

图 7：任何单一工具都有盲区，效果取决于合作辖区、合规金融通道和并行动作

制裁在合规金融体系内能产生显著隔离效果，在非合作安全港中却可能只改变品牌；网络下架能立即拒止能力，但若没有资金与人员动作，抗重构能力低；起诉对已定罪核心人员具有永久效果，对可替换的低层角色则有限；监管改变报告、KYC 和支付摩擦，落地慢，却可能永久改变运营经济学。

安全公司最常提供的是技术情报、托管滥用证据、受害遥测、sinkhole 和补丁。它们不能自行完成执法，但可以提前把信息组织成可行动包：

json

{\"entity_id\":\"infra:sha256:...\",\"type\":\"domain|ip|wallet|account|persona|malware|service\",\"first_seen\":\"2026-01-02T03:04:05Z\",\"last_seen\":\"2026-02-12T10:11:12Z\",\"roles\":[\"loader_c2\",\"payment_facilitator\"],\"relationships\":[{\"target\":\"entity-id\",\"kind\":\"resolves_to\",\"confidence\":0.98}],\"victim_impact\":{\"count\":18,\"critical_infrastructure\":true},\"evidence\":[{\"source\":\"sensor-id\",\"hash\":\"sha256:...\"}],\"handling\":{\"classification\":\"restricted\",\"legal_basis\":\"recorded\"},\"recommended_action\":\"preserve_then_suspend\"}

preserve_then_suspend 的顺序很重要。过早通知滥用方或公开 IOC 可能让对手烧毁基础设施，使后续扣押、归因和资金链分析失去证据。

6、2021—2025 的案例说明：短期中断和长期拆解是两套指标

课件把美国反勒索行动分成基础设施与行为人干扰、韧性建设、非法金融治理和国际合作四条线，涵盖 Hive、ALPHV、LockBit、Operation Endgame、制裁、FinCEN 措施和 Counter-Ransomware Initiative。

图 8：技术下架、国内韧性、资金治理和国际联盟共同构成行动，而非单一机构项目

图 9：课件用持续时间、覆盖范围、运营效果、资金效果和重构阻力对比五组行动

Hive 是“先利用情报，再公开下架”的典型。FBI 在控制网络期间向受害者提供解密密钥，之后才扣押服务器。课件表格写“避免 2.10 亿美元以上损失”，美国司法部 2023 年公开稿和 DOJ OIG 报告给出的可核实口径是阻止约 1.30 亿美元赎金支付，本文采用官方数字。更重要的指标是：行动在公开前已经服务多少在攻受害者、避免多少支付、获取多少后续线索。

Garantex 说明制裁单独使用的局限。它在 2022 年被制裁，仍继续处理大规模交易；2025 年美国、德国和芬兰同步扣押域名与服务器，并获取数据库。司法部称其 2019—2025 年至少处理 960 亿美元加密货币。若只看 2022 年“已制裁”，会误判任务完成。

Operation Endgame 则体现迭代行动。Europol 公开材料显示，2025 年阶段下架约 300 台服务器、处置 650 个域名并使累计扣押加密资产超过 2120 万欧元；2025 年末与 2026 年又继续针对新的 loader、RAT 和 infostealer。成功不是一次清零，而是迫使供应链持续更换工具、基础设施和身份。

7、信息共享必须围绕具体 use case 与合法权限

课件把信息共享拆成三类用途：金融机构间共享 mule account 与交易模式，用于近实时拦截；电信与平台共享诈骗号码、投诉和呼叫模式，用于事前阻断；各行业向执法提供证据和案件材料，用于追诉。

图 10：不同数据、方向和时效适用不同法律框架，不能用一份宽泛合作协议覆盖全部场景

工程团队应把授权条件做成数据字段，而不是留在会议纪要：

yaml

sharing_policy:use_case:mule_account_interdictionproducer:regulated_financial_institutionconsumers: [participating_bank, authorized_coordination_cell]   fields:required: [account_token, transaction_pattern, time_window, confidence]     prohibited: [plaintext_credentials, unrelated_customer_content]   purpose:fraud_prevention_and_interdictionretention_days:90onward_sharing:denied_unless_explicitlegal_review_id:LEGAL-2026-041audit_required:true

文章不能替代具体司法辖区的法律意见。真正可复用的原则是目的限定、字段最小化、访问审计、保留期限、来源与证据链明确。为了“多共享”而建立无法解释用途的数据湖，既增加隐私风险，也会降低情报质量。

8、四条行动线可以直接映射到企业安全工作

课件将网络犯罪 TCO 的打击框架分成四条 Line of Effort：上游加固与拒止、能力干扰与公私协作、金融拦截、国际韧性与问责。

图 11：每条行动线都有不同效果指标，最终共同压缩犯罪网络的运营空间

企业无法执行制裁或扣押，却能贡献每条线：

yaml

enterprise_lines_of_effort:shape_and_deny:owners: [identity, email_security, fraud, telecom]     outputs: [phishing_friction, account_protection, victim_warning]   disrupt_and_degrade:owners: [soc, threat_intel, trust_and_safety, legal]     outputs: [actionable_infra_package, sinkhole_leads, provider_notices]   financial_interdiction:owners: [fraud, aml, payments]     outputs: [mule_clusters, wallet_exposure, time_to_freeze]   resilience_and_accountability:owners: [csirt, public_policy, partners]     outputs: [shared_playbooks, evidence_packages, victim_restoration]

每条线要共享同一 entity ID 与 campaign ID，否则 SOC 的域名、反欺诈的账户、AML 的钱包和法务的案件永远无法汇成一张网络。

9、评估必须跟踪重构，而不是在行动日停止计数

课件要求用诚实指标评估行动：持续时间、覆盖范围、运营效果、金融效果和重构阻力。真正困难的是观测窗口要延伸到行动后数月。

可以用事件表计算 reconstitution time：

sql

WITH action AS (   SELECT campaign_id, MIN(event_time) AS action_time   FROM campaign_events   WHERE event_type ='coordinated_disruption'GROUPBY campaign_id ), replacement AS (   SELECT e.campaign_id, MIN(e.event_time) AS replacement_time   FROM campaign_events e   JOIN action a USING (campaign_id)   WHERE e.event_time > a.action_time     AND e.event_type IN ('new_c2', 'new_brand', 'new_wallet', 'new_market')     AND e.confidence >=0.8GROUPBY e.campaign_id ) SELECT a.campaign_id,        EXTRACT(EPOCH FROM (r.replacement_time - a.action_time)) /3600AS reconstitution_hours FROM action a LEFTJOIN replacement r USING (campaign_id);

还要区分“品牌上线”与“恢复原有产能”。五天出现新泄露站，不等于 affiliate、支付和受害规模已恢复；反过来，旧品牌消失也不等于人员和客户网络没有迁移。

yaml

campaign_scorecard:denial:malicious_attempts_prevented:countvictims_given_recovery_material:countoperational_friction:reconstitution_hours:p50_p90infrastructure_unit_cost_change:percentaffiliate_churn:percentfinancial:time_to_freeze_hours:p50_p90assets_frozen_or_seized:currency_normalizedpayment_rate_change:percentdurability:successor_network_capacity_at_30_90_180_days:indexsafe_haven_cooperation_change:qualitative_with_evidenceharms:benign_services_affected:countvictim_reporting_change:percent

任何指标都可能被对手适应或数据缺口扭曲，因此要保留置信区间、数据来源和替代解释。公开数字用于说明行动效果时，还要区分“已扣押资产”“避免支付”“已知受害损失”和“链上交易总量”。

10、持续干扰的交付物是一条能重复运行的流水线

课件对 2026 年 3 月 6 日签署的 Executive Order 14390 寄予四项期待：统一国家安全优先级与目标选择；将能力干扰与资金拦截同步；重建并制度化国际联盟；进入阻止重构和恢复防御的 build phase。白宫原文要求 60 天审查工具、120 天提交行动计划，并在 National Coordination Center 内建立协调打击外国 TCO 的 operational cell。

图 12：行政令给出审查、行动计划、跨部门 operational cell 和国际措施的时间表

图 13：结束状态、并行动作、联盟持续性和阻止重构构成完整循环

对企业安全组织，最终流水线可以更朴素：

text

采集：受害事件、基础设施、身份、账号、钱包、服务商   → 解析：统一 entity/campaign schema，保留来源与置信度   → 分析：依赖图、可替代性、资金流、重构路径   → 协调：确定合法权限、行动顺序和证据冻结时间   → 执行：防护、通知、封禁、冻结、扣押或追诉   → 评估：30/90/180 天运营、资金和重构指标   → 回灌：规则、身份控制、平台设计和行业 playbook

发布或移交行动包前，应通过以下门禁：

yaml

disruption_package_gate:objective_is_measurable:passentities_have_source_and_confidence:passbenign_dependencies_reviewed:passevidence_preserved_before_notification:passlegal_authority_recorded_per_action:passinfrastructure_finance_personnel_actions_synchronized:passvictim_notification_and_restoration_ready:passreconstitution_monitoring_owner_assigned:pass30_90_180_day_reviews_scheduled:pass

课件最有价值的提醒是：干扰行动不是防御之外的“进攻附加项”，而是让防御收益得以积累的前提。只做防护，对手可以用廉价、模块化供应链无限重试；只做下架，对手会在同样脆弱的身份、支付和托管环境中重建。

拆掉一门生意，必须让它持续失去利润、供应商、信任和恢复能力。安全团队贡献的不只是 IOC，而是带证据、权限、时序和效果指标的可行动情报。做到这一点，封禁数量才会从日报里的产出，变成对犯罪经济真实施加的成本。