“暗网下/AWX”曾经介绍，DarkForums是一个与BreachForums类似的暗网被盗数据交易论坛，在暗网与明网均可以访问，声称可以提供任何目标的多种类型数据。据观察，自从BreachForums销声匿迹后，DarkForums发展迅猛，已经拥有将近7.5万用户，逐渐取代BreachForums。
根据DarkForums对自己的宣传，其云端存储拥有来自欧洲、亚洲、非洲、美洲、澳大利亚等六大洲目标对象的各类数据，覆盖65+个国家，这些数据都是顶级品质，包括：
⭐️军事文件数据库 ⭐️企业完整数据库 ⭐️证件扫描件（身份证-驾照-护照） ⭐️消费者信息数据库 ⭐️电话号码数据库 ⭐️电子邮箱数据库 ⭐️外汇与加密货币数据库 ⭐️赌场及游戏数据库 ⭐️号码：密码 & 邮箱 & 用户名：密码 ⭐️公民身份号 & 社会安全号 & 税务号数据库 ⭐️大型网站数据库 ⭐️去哈希化数据及其他大型云端资源 DarkForums表示，其海量数据储备是未遭破坏的原始数据库，极度新鲜且私密，且支持用户自定义请求，有顶级品质保障。其全天候更新档案库，客服24/7全天候在线支持。
根据网站发布的套餐价格，1个月套餐售价200美元，3个月套餐售价为400美元，而终身套餐售价为1000美元，免费神级升级包含在3个月及终身套餐中。
DarkForums设置了三种类型的网站会员等级：VIP会员订阅价格为20欧元/999年，MVP会员订阅价格为40欧元/终身，GOD会员订阅价格为80欧元/终身。
根据公告，DarkForums提供的暗网V3域名为：http://qeei4m7a2tve6ityewnezvcnf647onsqbmdbmlcw4y5pr6uwwfwa35yd[.]onion
除了暗网地址外，该网站同步提供了几个明网镜像地址：
https://df[.]hn
https://df[.]kiwi
https://darkforums[.]st
此外，该网站还拥有域名https://darkforums[.]me，页面显示该域名的所有者为Knox，同时显示了DarkForums的暗网与明网域名，但未作跳转。
根据DarkForums的统计数据，该暗网数据泄露论坛已经拥有超过2.5万的主题帖，近25万的回复帖，近7.5万的注册用户，最多同时在线人数接近2万，可见其人气非常旺，但不知能够坚持几日。
DarkForums称其余自称新BreachForums的论坛都是虚假的 在FBI查封域名BreachForums.hn后，DarkForums发布警告称，虽然互联网上已出现多个冒牌或克隆网站，自称是“新BreachForums”，但它们与原版BreachForums团队毫无关联，都是为了欺骗、钓鱼或窃取用户数据。而DarkForums才是目前该领域唯一活跃且合法的主要社区。
对于本站（anwangxia.com）曾经报道的一个由BreachForums前管理员Koko创建的“新BreachForums”，DarkForums在Telegram频道表示，这个BreachForums克隆站也不是正规站点，Koko是个智障骗子，以过往成就为幌子行骗。他不仅诈骗了克隆论坛所有者SEPTEMBER，更在其自家论坛实施诈骗，如今更冒用SEPTEMBER等名义兜售论坛基础设施行骗。多名社区成员反映购买其论坛时遭遇欺诈，所以请务必警惕并远离这类无赖之徒。
某Telegram频道揭露的DarkForums管理员身份未得到权威证实 近期，有国内公众号号称某Telegram频道揭露了DarkForums管理员（Lucifer、Knox）的真实身份。根据号称”开盒“信息，此人为印度人，真实姓名为”Hritik Kumbhar“，来自印度奥里萨邦（Bhubaneswar, Odisha, India），系NIST大学计算机科学学士，现为初创公司InnovexPlus创始人，具备Linux、Python、网络安全等技术背景。
泄露内容极为详尽，包括”Hritik Kumbhar“的家庭住址（Bolangir, Odisha 767001）、手机号码（+916370174459）、常用设备（三星Z Fold6/7、尼康D7200相机）、学校（NIST University）、Linkedin个人页面（https://in.linkedin.com/in/hritik-kumbhar-980174354）、多个邮箱（如[email protected]、[email protected]）及移动网络IP地址（136.233.58.227）等。
据“暗网下/AWX”综合各个权威网络安全威胁情报分析专家对DarkForums的分析，尚未证实”Hritik Kumbhar“是DarkForums管理员Knox，有待进一步的消息。
DarkForums后续如何发展，FBI会不会对其采取执法行动，“暗网下/AWX”将持续关注。
上个月，“暗网下/AWX”报道最大的中文暗网诈骗网站不仅更换了洋葱域名且再次更名，并预测其将在“双十一”到来前使用新的话术。果然不出所料，本月初，该中文暗网最大的诈骗网站发布了新的“双十一”诈骗话术。
本站（anwangxia.com）已经数次曝光这个最大的中文暗网诈骗网站，该诈骗网站现名为“联合中文担保交易集市”。曾经广为人知的名称是“正版中文担保交易市场”，后经本站不懈努力曝光后，改名为“华人自己的暗网担保交易市场”，当本站又曝光多次后，终于再次改名为现名称。
该诈骗网站每年在一些中国人的传统节日，如元旦、春节、端午、中秋、国庆、双十一等等，会推出一些新的诈骗话术，美其名曰“大促”、“回馈活动”、“答谢礼”……为的都是进一步骗取暗网小白的信任，从而乖乖给其转比特币。
随着2025年“双十一”的到来，该诈骗网站按照惯例推出了今年的“双十一”诈骗话术——“2025年双十一活动公告”：
活动时间：2025年11月01日0点-11月30日24点（北京时间）
活动细则：
活动一：无论新老用户，活动期内在本平台交易满3次，金额最大一次在1000美元以上者；或活动期间内进行了不低于10次交易，累计金额不低于300美元。即可获得400美元购物券，在购买1000美元以上任意商品时均可使用。购物券永久有效。
活动二：活动期内，凡交易金额满3000美元者，即可获得以100美元价格购买全新Iphone17 Max Pro 1T的资格，两个月内有效。或返现400美元到用户的平台钱包，没有使用限制。金融类虚拟类商品只计算该期间内金额最大的一次交易，实物类商品可以累计活动内交易金额。
首页大转盘优惠券与上述活动优惠可叠加使用。
感谢七年多以来新老用户的支持，祝大家购物愉快！
根据“暗网下/AWX”对该诈骗网站的研究，该诈骗网站本着能骗一个是一个的原则，话术的唯一目的就是敦促傻子来转账，所谓的“消费”、“交易”、“购买”、“返现”都是要先使用比特币转账，而转账之后，就不会再有下文，继续等下一个入瓮的小白。经过这些话术的加持，守株待兔的成功几率暴增。
通过提交支付系统，“暗网下/AWX”发现，该诈骗网站目前使用两种方法收取比特币，一是直接输出地址供小白用户转账，二是使用nowpayments（nowpayments.io）的支付网关，而不再是前期使用的blockonomics（blockonomics.co）、coinbase（coinbase.com），是否因为被受害者举报而被这些平台取消服务，目前不得而知。希望被骗的受害者继续向nowpayments举报该诈骗网站的诈骗行为，从而也能取消服务。
随着本站的再次曝光，“联合中文担保交易集市”未来是否会继续更换域名或者名称，“暗网下/AWX”将继续跟进关注。
更多暗网新闻动态，请关注“暗网下/AWX”。
随着FBI的公告宣布查封BreachForums域名，“暗网下/AWX”报道称BreachForums时代已经终结，然而FBI又被打脸，臭名昭著的暗网数据泄露论坛BreachForums再次出现，与前几个版本类似，在明网与暗网均可访问，由老版本BreachForums论坛管理员“koko”启动，且冒天下之大不韪使用泰国、赞比亚等国家警方的邮箱发送欢迎邮件。
长期以来，BreachForums一直是数据泄露、黑客工具和非法交易的中心，在一系列国际联合执法部门的打击中，陆续由多个版本出现，被打击后又消亡，并在今年上半年彻底被摧毁。然而，仅仅几个月后，它又重新启动，既说明了此类论坛的受欢迎程度高，也表明了网络犯罪论坛的顽强生命力。
新版本BreachForums论坛是由老版本BreachForums论坛版主“koko”创建的，他在一篇置顶帖中声称，他在2023至2024年期间担任BreachForums版主，经过团队慎重商议，决定让BreachForums重启。目前核心功能已通过最近的备份完全恢复。用户可以再次浏览专门讨论被盗凭证、勒索软件讨论和零日漏洞的版块。“Koko”强调，新版本BreachForums论坛“比以往任何时候都更加强大”，并增强了匿名功能以逃避检测。
新版本BreachForums并没有直接延续旧的版本 “koko”称，对暗网社区而言，过去一年充满挑战，但他们已重整旗鼓，准备重建家园！然而，新版本BreachForums并非旧版本的延续，而又是全新的开始，但界面继承了老版本的界面，且“koko”表示核心功能已从备份中恢复，团队正在从头开始重建托管服务，以解决前期存在的网站漏洞。
“我们从错误中吸取了教训，”Koko写道，并承诺改进加密和多重签名钱包，以防止未来发生盗窃。
新版本BreachForums使用了新的暗网V3域名：
http://ujdswnhjybusy2i4vcsfpkezrtg27glkxu3t5b4ttszhxyqaz3gpkbyd[.]onion
除了可以通过暗网浏览，新版本BreachForums也支持在一个新的明网域名访问，这旨在吸引更广泛的受众，包括那些不太懂技术、不愿使用Tor网络的网络犯罪分子。
新版本BreachForums论坛提供了几项重要更新：
备份与功能：已完成所有核心功能的完整备份，确保系统运行顺畅无碍。未来用户将获得无缝体验。 托管系统：托管系统正在从零重建。旧系统曾多次遭各类机构入侵，且无人知晓有多少代理曾访问数据库。为保障安全可靠性，将采用全新更安全的系统。 用户名安全：强烈建议勿使用旧用户名。此举将危及您的操作安全。请创建全新身份以保障安全。 等级恢复：凡在BF历代版本（BFv1、BFv2、BFv3…）中拥有等级的用户，将予以恢复。请联系@koko提交恢复申请。 尽管“koko”持乐观态度，但他也表示，许多人目前仍对论坛部门运营人员表示怀疑。许多论坛老手怀疑新版本BreachForums可能是执法部门故意设置控的蜜罐。一位匿名发帖者评论道：“这太干净、太快了”，他担心美国联邦调查局或特勤局等机构可能会监视活动以建立案件。
网络安全专家敦促任何访问该网站的人都要谨慎。“ BreachForums一直是一把双刃剑，它既能为研究人员提供宝贵的情报，又能吸引真正的威胁。”一家领先安全公司的威胁分析师John Doe说道。
明网域名可能使用加密货币注册 新版本BreachForums的明网域名是breached[.]sh，.sh域名是圣赫勒拿岛（Saint Helena）、亚森欣和特里斯坦-达库尼亚群岛的的国家代码顶级域名（ccTLD），该域名注册商为“NICENIC INTERNATIONAL GROUP CO., LIMITED”。NiceNIC是一家总部位于香港的网络服务公司，以其品牌NiceNIC.NET运营，是ICANN认证的域名注册商。
根据whois信息，breached[.]sh域名注册于2025年10月15日，使用了ddos-guard.net的解析服务，应是为了保证网站的安全性。域名使用了whois保护，因此无法查询域名注册时填写的注册者与管理员信息。
虽然Recorded Future等网络安全公司已发出警告，指出当局更容易通过IP日志和托管服务提供商追踪明网域名。
不过由于NiceNIC是一家拥抱加密的公司，该服务商支持多种加密货币支付，包括比特币（Bitcoin）, 泰达币（Tether USDT）,以太坊（ETH）, 莱特币（LTC）,门罗币（XMR）。因此，新版本BreachForums明网域名breached[.]sh背后真实的注册者信息估计非常难以追踪。
新版本BreachForums论坛通过使用泰国、赞比亚等多国警方的被盗邮箱传播 据多家威胁情报机构表示，新版本论坛涉嫌滥用泰国警方官方邮箱域名（police.go.th）、赞比亚警察局官方邮箱域名（zambiapolice.org.zm）开展宣传推广活动。而发送邮件的警方邮箱大多都是在各种数据泄露事件中的泄露的。
新版本论坛的管理员似乎正利用被盗的执法机构邮箱账户，绕过垃圾邮件过滤器和安全检查，使宣传信息显得更具合法性，也体现其自身的权威性，从而增强目标推广对象的信任感，使新版本BreachForums论坛呈现真实可信的表象。
新版本BreachForums论坛已经在打包出售 新版本BreachForums论坛创始人“koko”发布置顶帖子公告，称其正在寻找新的所有者，出售新版本BreachForums论坛，他们将向其转让所有权，整体售价仅为5000美元。
购买成功的新所有者将获得：
基础设施的完整访问权限（6台服务器） 域名 CDN DDOS防护 代理服务器 被扣押的旧数据库（30万+用户） 托管交易数据库（含32,000余笔托管交易） “koko”在帖子中提供了用于交易谈判的加密即时聊天工具Session的联系码，并要求新所有者须具备管理该职位及全套基础设施的能力，且要延续BreachForums现有运营理念。
周末，Scattered LAPSUS$ Hunters团伙的暗网洋葱网站突然显示了被FBI查封的图片，图片与其明网网站Breachforums[.]hn本月上旬被FBI查封后展示的图片相同。如果属实，则证明该团伙的暗网基础设施也已经被FBI扣押，服务器与数据库以及文件均被执法机构掌握。但目前业界普遍认为这是Scattered LAPSUS$ Hunters团伙自导自演的恶作剧。
回顾FBI设置的Breachforums[.]hn被扣押页面源码（省略图片的data信息与javascript引用信息）：
<html> <head> <meta http-equiv="Content-Type" content="text/html; charset=windows-1252"> <title>This Domain Has Been Seized</title> </head> <body style="background-color: black;"> <p><img border="0" alt="This domain has been seized." src="data:image/png;base64,……"（省略data信息） width="auto" height="100%" style="display: block; object-fit: contain; margin-left: auto; margin-right: auto";/p> </body> </html> 目前洋葱域名展示的被扣押页面源码：
<html lang="en"><head> <meta charset="UTF-8"> <title>Seized</title> <style> html, body { margin: 0; padding: 0; height: 100%; background-color: black; } body { display: flex; justify-content: center; align-items: center; } img { max-width: 100%; max-height: 100%; object-fit: contain; } </style> </head> <body> <img src="
“正版中文担保交易市场”是最大的中文暗网诈骗网站，在本站曝光过9次后，这个诈骗网站依旧在运营。g每一次曝光后，该诈骗网站更换一次暗网洋葱域名，并在去年年初将网站名称更改为”华人自己的暗网担保交易市场“。近期有网友提醒，“暗网下/AWX”今年的曝光，促使这个诈骗网站再再次更改了网站名称与洋葱域名。
“正版中文担保交易市场”这个中文暗网圈最大的暗网诈骗网站最新的网站名称为“联合中文担保交易集市”，副标题是“一个小高端中文类淘宝安全买卖平台”。分析该诈骗网站的三个名称：“正版中文担保交易市场”、”华人自己的暗网担保交易市场“、“联合中文担保交易集市”，可见，只要在暗网里看到名称中含有“担保”的中文网站，无论叫什么名称，不管用什么洋葱域名，必定是诈骗网站无疑。
“暗网下/AWX”多次科普，在暗网中生成一个洋葱域名只需要1毫秒，且无任何成本，因此本站（anwnagxia.com）每次曝光后，该诈骗网站均会更换一个新的洋葱域名。诈骗网站“正版中文担保交易市场”最新更换的暗网V3域名为：
http://qlm6tc2bfkfjhdoacgew6qdrqolie6352n2xek6ey5voi3gyx5cbhdad.onion
此外还有一个暗网V3域名跳转至上述域名：
http://dlzxg7eygo5ld5vsmsjzdlnxwvqcy3acicftkyyca4pyx6t7wirpw4qd.onion
上次本站曝光的暗网V3域名已经不再使用，目前无法访问：
http://ttal23727crynfjdxjhdcrxbeu7m4iup545fmvhf4pzquxleuzqu5did.onion
该暗网诈骗网站就是一个用Wordpress搭建的微博客，网站打开出来的所有店铺：暗网网站搭建服务、盗刷Carding合作服务、支付宝安全转账、英国一手卡料出售CVV、华为系列产品专卖店、IPHONE手机低价批发店、超低价格卖BTC钱包等等都是一些假的发布页面，只要支付，比特币即被诈骗走，用户得不到任何响应，没有物品、没有服务，纯粹的诈骗。
目前网站的logo图片居然写着“胸怀爱国心”，是否意味着骗子有“国之大者”的爱国情怀，还是“中国人只骗中国人”的爱国情怀。
今年5月份，该诈骗网站发布了“七周年庆回馈活动”的诈骗话术：
又到了本站周年庆活动，老朋友们是不是很期待？七周年了，这七年来我们经历了很多，也认识了许多用户朋友，总之很感谢大家的一路跟随与支持。
老规矩，以下就是七周年庆典活动的方案，新老朋友按照自己的情况去狂欢吧！
1、 单笔交易达到2300美元（含）以上者，可返现交易金额的8%。符合条件者请在交易后48小时内发送交易的单号以及打币的TXID/Hash这两项内容到admincn的站内信，你可以用A账号购买用A账号发信，或者用B账号发信，甚至不注册账号完全匿名购买都可以，只要提供以上两项，核实后就会在48小时内充值入平台钱包。不注册就交易的如果要获得返现就注册一个账号来发信吧，返现只奖励到平台钱包内，没注册是没有平台钱包的。 提供TXID就能确认你是你。新老用户共享此条。
2、活动期间内累计交易10000美元（含）以上，返现累计总金额的6%。此奖励不与第1条重复奖励，如果领取过单次交易奖励的交易，将不能计算到累计交易金额之内。申请奖励方法与第1条相同，请最晚在活动期结束后48小时内发送申请信息给admincn。 新老用户共享此条。
3、本次活动作为七周年庆典回馈，将与幸运大转盘同时进行，折扣码、返现同时进行，可叠加使用。
4、凡是注册时间超过一年（北京时间2024年5月10日前注册）的用户，满足单笔最大交易达到$500以上且交易次数在三笔以上者，可来信联系admincn获得在本站苹果手机店铺只购买一台手机的权限。一般情况下该店手机是不零售的。
5、活动起始时间为本文字公告之日，结束时间为本文字不再置顶。
6、无论你是陪伴我们走过几年时间的老朋友，还是刚接触的新用户，我们都祝愿在往后的日子里你能越走越顺，心想事成。
马上双十一、双十二即将到来，预计该诈骗网站又将使用新的话术，一旦新的诈骗话术发布出来，“暗网下/AWX”将立即发文提醒。
经分析，该诈骗网站每个月都有数比诈骗收入进账，希望本站的预警能够挽救更多天真的小白。再次预警，希望诸位暗网达人谨记，暗网里没有能占的便宜，访问暗网的结局是人才两空：人被抓走，钱被骗走！
更多暗网新闻动态，请关注“暗网下/AWX”。
多次承诺要如期公布，并且暗网网站在倒计时，时间到了怎能不公布，Scattered LAPSUS$ Hunters勒索软件团伙给大家示范了什么才能做到“既当又立”，10日至11日，该团伙磨磨唧唧地泄露了6名受害者的数据，并且同步在叫嚣与威胁。
10月10日，Scattered LAPSUS$ Hunters勒索软件团伙在Telegram发布公告，称其自动化系统将首先在美东时间晚上11点59分泄露澳洲航空有限公司的数据库。此前已有数家公司因拒绝支付费用而遭泄露——因此短暂停歇数分钟，是让澳大利亚民众有时间消化这份恐惧、创伤与愧疚：他们的政府选择守护自身虚荣与尊严，而非保护公民安全。
10月10日，该团伙继续称，实在不忍心让数千甚至更多等待泄密消息的人失望——这些消息本就迫在眉睫，于是该团伙正在重新筛选即将被曝光的企业名单。由于团队半数成员此刻正酣睡在床上，又由于几分钟前上级突然标记了某些事项，未经批准无法继续推进工作。基于此，我们决定采取最佳方案：将泄密时间稍作延后。相关企业数据仍将如期于10月11日曝光。
10月11日，该团伙终于公布了其中6家受害公司的数据：
albertsons.com gap.com engieresources.com fujifilm.com qantas.com vietnamairlines.com 虽然有很多人都在问还会泄露什么，但该团伙表示他们不会再有其他泄露了。所有该泄露的都泄露了，没有其他东西可泄露，而且显然他们掌握的东西出于显而易见的原因不能泄露。
此外，该团伙称，由于洋葱网络正承受着海量流量的压力，暗网数据泄露网站现已同步开放至明网：https://shinyhunte[.]rs，“暗网下/AWX”认为该域名估计不久将会被FBI查封。
Scattered Lapsus$ Hunters称将推出公开勒索即服务项目 Scattered Lapsus$ Hunters团伙称，在下周一或下周某个时间，该团伙将推出首款专属的公开勒索即服务（EaaS）项目。运作模式类似勒索软件即服务（RaaS），但不包含锁定/加密功能。他们将为此设立专属门户，并提供参与该服务的操作指南。
该团伙表示，危机管理风险公司/顾问机构，或受害者聘请的谈判专家，通常希望确认对话对象身份，以此通过行为主体的过往记录建立信任与信誉。该计划的核心优势在于：黑客可借用该团伙的名义实施勒索，相较于匿名操作或使用毫无信誉/声誉/信任/历史背景的虚假身份，成功率将显著提升。
该团伙透露，EaaS项目的更多细节将很快公布。
Scattered Lapsus$ Hunters为其勒索攻击做总结并宣称将重点针对五个国家 Scattered Lapsus$ Hunters团伙在Telegram为持续一年的行动进行了小结。其表示，这应成为全球所有政府的警示——一旦遭遇数据泄露，赎金索求便会接踵而至。而最明智的选择是“服从我们，与我们协商解决方案”。
该团伙表示，他们不想再听什么“我们不与[恐怖分子]谈判”的废话。他们不是恐怖分子，只是在维护市场稳定——这是特朗普总统与狗狗币领袖马斯克赋予他们的使命。
该团伙特别警告澳大利亚称真心希望澳洲这次能吸取教训，称几年前其和Shanty摧毁Optus时，就给过澳大利亚多次配合的机会。该团伙要求澳大利亚政府请废除或彻底改革澳大利亚联邦警察局，称澳大利亚警方充斥着傲慢与自负，澳大利亚政府本身亦是如此，要求他们修改法律，调整政策，做出改变。
该团伙威胁称，他们将持续攻击澳大利亚直至澳大利亚重写规则，改变政府之前的决定，放下傲慢自负，未来配合谈判，与其合作。
该团伙针对全球其他政府称：“你们绝不可能阻止我们”，并表示的重点目标始终不变，那就是美国、英国、加拿大、澳大利亚、法国。该团伙警告加拿大说，你们这次没被列入打击目标，真是走运，下次就轮到你们了。
该团伙挑衅联邦调查局称FBI平庸至极，且在做无用功：
请停止浪费资源和资金去查封毫无价值的明网网站breachforums.hn，你们查封它得到了什么？说真的？一无所获。你们只是想吓跑我们吗？显然没成功。你们政府已经停摆，你们却忙着在网上追捕APT青少年。回家吧，辞职吧，退休吧，做点正事。ShinyHunters的名言：“FBI平庸至极”。没错，你们就是这般水平。
该团伙嘲笑Mandiant/GTIG技术拉跨，且一直被打脸：
你们在识别我们UNC6040行动时表现得最烂——拖了近一年才发现，那时所有数据早已泄露。对我们UNC6395行动的追踪勉强及格，但终究平庸至极，毫无价值。奥斯汀·拉森（Austin Larsen），你这个LGBTQ垃圾，滚蛋去当个同性恋吧，蠢货。最后警告Mandiant：别再主动找我们打脸了，因为当我们狠狠扇你耳光时，那滋味他妈的痛彻心扉。相信我，你绝对不想尝到那种滋味。我们能像搞垮捷豹路虎那样锁死整个谷歌云，让你们六七周进不来。别惹我们，去调查中国或Cl0p（又名Sl0p SaaR）吧。
该团伙称，那些配合他们的企业心知肚明，他们做出了正确抉择，在此致谢；至于其他那些公然决定不配合他们、拒绝保护客户权益的公司，只要他们存在，他们面临的威胁非但不会减轻，只会与日俱增。该团伙恐吓道，这次不付钱也行，但当他们卷土重来，像对待捷豹路虎那样停摆这些公司的生产线时，这些公司就只能听天由命了。
该团伙忠告Salesforce总部称：
请放下你们的傲慢与自负，我们将发起更具破坏性的行动，届时希望你们能改变主意。无论耗时多久，我们拥有无限的资金、资源、人力支持和后盾，足以永无止境地开展此类行动。 我们本可采取更恶劣手段，但选择保持简单直接。
该团伙“强烈建议并全力鼓励所有人持续攻击那些拒绝向网络攻击者支付赎金的国家（如澳大利亚），因为这种行为只会助长恶性循环”。该团伙表示，像他们这样经年累月建立信誉的团队不会这么做，他们既非网络攻击者亦非“恐怖分子”，而只是商人，做完生意便转身离去。
最后，该团伙表示，此刻起，全球所有企业都应默认将其视为真实威胁——对你个人、对你的公司、对关键基础设施、对国际安全构成威胁，因为他们永不停歇：“2026年再会”。
澳洲航空旅客信息及餐食选择等570万条记录遭泄露 澳洲航空表示，由于云软件公司Salesforce拒绝向Scattered Lapsus$ Hunters支付赎金，其570万条客户记录在暗网上泄露。
Salesforce排除了向Scattered Lapsus$ Hunters支付赎金或进行谈判的可能性，而澳洲航空周日证实，570万客户的数据已被泄露。
澳航表示，大多数客户记录仅限于姓名、电子邮件地址和飞行常客详细信息。一小部分信息还包括公司或家庭住址、出生日期、电话号码、性别和膳食偏好。
Scattered Lapsus$ Hunters继续威胁澳大利亚与挑衅美国FBI Scattered Lapsus$ Hunters勒索软件团伙口嗨的能力很强，一直在其Telegram频道大放厥词，该团伙发布消息威胁澳大利亚称：
我定要将你们国家炸得稀巴烂。澳大利亚向来以无能和无关紧要著称。
你们所谓的“追捕”、“搜寻”和“消灭”我们，根本是痴人说梦。清醒点吧，你们政府顶多能跑去向头号盟友美国哭诉，请求协助处理那些远远超出澳大利亚政府能力范围的事务。
去你妈的！
该团伙发布消息挑衅FBI称：
鉴于联邦调查局企图抹杀我们历史遗产的特殊情况，我们特此决定暂时放弃沉寂，即刻予以反击。此刻我们将再度消散于虚空。晚安。
Scattered Lapsus$ Hunters团伙能做出什么惊天举动与反击，“暗网下/AWX”将继续拭目以待。
勒索软件团伙Scattered LAPSUS$ Hunters在发布其暗网泄密网站后，“暗网下/AWX”看到，在其Telegram频道中异常嚣张，除了日常发出包括Dell、Telstra等新的受害者外，新的消息显示其在不断威胁恐吓Salesforce及其客户，挑衅FBI，并贬低cl0p等其他勒索软件团伙。
Scattered LAPSUS$ Hunters继续恐吓Salesforce及受害客户 路透社已经报道：”LAPSUS$黑客组织成员周五在暗网发布泄露网站，列出了据称已入侵的约40家企业。目前尚不明确这些公司是否为Salesforce客户。黑客与Salesforce均拒绝透露是否正在进行赎金谈判。”
该团伙表示，上周路透社询问Salesforce是否会与其接触/谈判时，Salesforce公司最初称“拒绝置评”。对于所有询问“你们向Salesforce索要多少赎金”的媒体，该团伙表示同样不予置评。该团伙不断提醒，勒索的截止日期将于纽约时间2025年10月10日晚上11点59分结束。
Scattered LAPSUS$ Hunters团伙威胁称，请有人告知Salesforce公司：若他们立即支付针对我们DLS系统中列出的39起数据泄露事件的赎金，我们将不会继续披露Salesloft（UNC6395行动）的数据泄露事件。另外，该团伙直接发布针对Salesforce公司的消息：
别成为下一个头条新闻。贵公司SalesForce客户的完整数据库已遭泄露，避免数据公开泄露引发巨大法律、财务及声誉损失的唯一途径，是立即通过电子邮件[email protected]联系SLSH。SLSH将协调安全通信渠道，立即配合可有效限制数据暴露范围、保障数据完整性，并为我们在敏感客户记录出现在公共论坛、全国新闻及DLS系统前控制事件提供最佳机会。拒绝或拖延只会让最终的头条新闻更加不堪。请做出正确抉择。
该团伙继续表示，Salesforce公司与其私下协商最符合贵方利益，只有这样才能彻底解决此事，让生活回归正轨——这场闹剧已经持续太久。该团伙明确强调：自己拥有充足资金、资源、支持和资金保障，足以让攻击持续不断。
该团伙继续称，或许你们以为曼迪安特（Mandiant）或联邦调查局（FBI）会终结此事，但必须再次明确：这种可能性微乎其微。该团伙同时威胁受害公司：
针对Salesforce平台上39家企业客户，我们强烈建议您立即与我们接洽——距离最后期限仅剩不到3天。显然，您的SaaS服务商无意拯救您。切勿成为下一个牺牲品。
对此，Salesforce再次明确告知客户不会向黑客支付勒索费用。
Scattered LAPSUS$ Hunters嘲笑cl0p勒索软件团伙技术差劲 该团伙称cl0p勒索软件团伙的技术太差，并指出了6点：
当你不得不对企业喊“喂！是我啊！去谷歌搜搜我啊！！”时，你就该明白自己在网络安全圈外根本是个无人问津的无名小卒。 你们知道Oracle EBS是什么吗？里面存的那些数据，根本没有哪家公司会为之支付赎金。要是真有公司付钱，那我倒要惊叹自己判断失误——不过那公司绝对是蠢到家了 他们真敢勒索Oracle EBS的数据？？ 这帮人显然不懂如何通过t3://协议跳板，更别说利用WebLogic管理服务器渗透到IDM/SSO这类关键网络了，笑死 估计cl0p这些年损失了不少人手，缺乏执行大规模黑客攻击所需的能力、资源、人员和技术，所以他们大概是这么想的：
“直接从Oracle EBS抓取能拿到的数据就行，懒得进一步跳转了——毕竟我们实在搞不定老旧的RHEL 2.x-3.x内核（Oracle常挂原版RHEL），搞不好直接让服务器变砖😂” 你们太差劲了，拜拜 该团伙继续嘲笑，别提cl0p的勒索软件了，简直烂透了。那不过是个基于标准C++的文件加密器，混用RSA和Salsa20算法，唯一创新就是加了个killmsexchange开关防止数据库损坏。代码写得一塌糊涂，到处留下取证痕迹，全球所有杀毒厂商都已经破解分析过了哈哈哈。
该团伙称cl0p维护的不过是个基础Windows加密器，难怪这么无足轻重。当公司不付钱时，就知道用破烂的蹩脚英语邮件轰炸对方。并继续谩骂cl0p道：
你们就是勒索软件界的电话推销员。永远达不到我们的高度，永远无关紧要。你们简直就是勒索软件界的印度骚扰电话推销员。
cl0p，你们的“Oracle EBS”根本不算黑客攻击，纯粹是配置失误——你们只是滥用默认密码重置机制，祈祷企业懒得处理。自2020年以来你的整个操作模式如出一辙：找个文件传输方案（Accellion、MOVEit、Cleo等），利用0day漏洞，像乞讨的吉普赛人一样给公司发邮件勒索赎金，然后在谷歌上搜索你们团伙——创新何在？转型何在？你还在维护那个基础的C++加密器，所有杀毒厂商早就破解了。你们自制的破工具就暴露了粗鄙本性：引以为傲的LEMURLOOT网页shell竟用硬编码密码认证，笑死；你们的勒索软件在每个文件里留下Clop^_-标记，活像智障黑鬼在涂鸦上签名。你们害怕俄罗斯人，所以代码里直接写了不执行俄语系统包的逻辑。你们根本不是什么不可触碰的黑客艺术家，不过是明目张胆的经济犯罪分子，所有人都看穿了（所以才让你们这种无名小卒来冒用我们的泄密成果）。继续你们的垃圾邮件轰炸吧，我们会在网络里干正事——我们一个人的价值抵得上你们所有人。祝你们愉快啊，废物！
Scattered LAPSUS$ Hunters宣称将会制造恐怖的2026年 该团伙表示，其不再运营明网域名，所有服务将迁移至洋葱网络。
该团伙嘲讽联邦调查局因政府停摆而消极怠工，称“本案的主办警官们八成正溜到哪儿鬼混去了”。此外其还散步威胁言论：
2026年将是可怕的一年。最可怕的一年。我们最擅长制造可怕的年份。真的，最擅长。没人能像我们这样把年份搞得如此可怕。千真万确。千真万确。人们都这么说：你们制造的年份太可怕了！而我们确实如此！没错。你们会亲眼见证。我们将让它变得无人能及的可怕。
接着该团伙在频道中呼吁大家卖空SALESFORCE股票，并计划在纽约时间10日晚上11点59分整，开始泄露未付款的公司的数据。目前看，无论Salesforce公司还是受害企业均不会支付赎金，该团伙是否会如期泄露全部数据，让我们拭目以待。
FBI将如何打击这个勒索软件团伙，“暗网下/AWX”将继续关注。
“Scattered LAPSUS$ Hunters”是一个新的暗网勒索软件团伙，由三大勒索软件团伙Scattered Spider、Lapsus$和ShinyHunters合并而成，近期，该团伙推出了基于Tor的暗网数据泄露网站，其中包含42家受害公司。推出该暗网网站目的是迫使受害者向其付费，以避免被盗数据被公开发布。
该勒索软件团伙宣称已攻破Salesforce系统，通过针对Salesforce的供应链攻击窃取了其客户的约10亿条记录。该团伙指控Salesforce缺乏双重认证及OAuth防护机制，称逾百个实例遭入侵，并威胁将实施数据泄露、提起诉讼及披露技术细节。
目前其暗网泄密网站（http://shinypogk4jjniry5qi7247tznop6mxdrdte2k6pdu5cyo43vdzmrwid[.]onion）发布了42家公司，包括保险巨头安联人寿、墨西哥航空、开云集团、法国航空、谷歌、思科、Stellantis、澳洲航空、汽车巨头Stellantis、信用机构TransUnion以及员工管理平台Workday等，这些公司均因受到针对存在漏洞的Salesforce实例的攻击而被影响。
FedEx – 1.1TB Aeroméxico – 172.95GB Qantas Airways – 153GB UPS – 91.34GB HMH – 88GB Vietnam Airlines – 63.62GB Toyota Motor Corporation – 64GB Stellantis – 59GB Air France & KLM – 51GB Republic Services – 42GB Adidas – 37GB Disney/Hulu – 36GB Canvas by Instructure – 35GB Instacart – 32GB McDonald’s – 28GB TripleA – 23GB TransUnion – 22GB Home Depot – 19.
9月底，“暗网下/AWX”看到，名为“globalmonero”的成员在暗网Dread发布主题宣布，新的暗网门罗币点对点交易平台Global Monero功能全面上线，正式开放注册，诚邀新老交易者加入。
globalmonero表示，自去年五月LocalMonero关闭以来，其一直在开发全新的无需KYC认证的点对点XMR交易平台，如今终于准备好向公众发布首个版本，欢迎暗网用户前来体验，并称也可通过明网访问Global Monero，期待能够听到门罗币社区的反馈！:-)
globalmonero宣布了新门罗币交易平台Global Monero的特色：
无KYC认证 无JS脚本 隐藏服务 开放注册 交易者无需邮箱注册 在公告中宣称，如果用户已经在类似平台（AgoraDesk、Paxful、LocalCoinSwap）建立交易信誉，可以告知，其将为此类用户导入信誉记录！
Global Monero兼具点对点交易以及交易仲裁平台双重功能，与LocalMonero类似，发件方需先将XMR存入网站托管账户，以便工作人员处理交易过程中可能出现的纠纷。网站最终将对完成交易收取1%手续费，但是开放测试期（截至11月1日）免收平台费用！
globalmonero提醒用户注意，因为这是该网站的首次测试版发布，可能存在各种问题，用户如果有任何疑问或遇到网站问题，可以反馈，也可通过私信联系官方！:-)对于关键问题，其还提供⚠️漏洞悬赏⚠️，即可以给予赏金。
对于需要提供服务支持、漏洞报告或功能建议的用户，Global Monero官方提供了一个邮箱：service@globalmonero[dot]co
globalmonero在帖子的回复中发布了带有PGP签名的网站信息，以验证自己的Global Monero网站管理员身份。
—-BEGIN PGP SIGNED MESSAGE—–
Hash: SHA512
http://globalxmrdr4zospiujlhkanhkpl5zouwynfmduaq5qhfcxnshi4ksyd.onion/pgp.txt
Signed with the Global Monero Service Key.
Post /post/1355724096b97b01e8bb is authentic.
—–BEGIN PGP SIGNATURE—–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=DVlR
—–END PGP SIGNATURE—–
Global Monero的明网地址是：http://globalmonero[.]co
Global Monero的暗网地址是：http://globalxmrdr4zospiujlhkanhkpl5zouwynfmduaq5qhfcxnshi4ksyd[.]onion
“暗网下/AWX”认为，暗网中的此类平台非常多，由于缺乏信誉度与公信力，使用此类平台需要格外谨慎，此类暗网网站是否靠谱请自行核实。与暗网交易市场一样，用户极有可能遭遇退出骗局，门罗币被网站运营者倾吞。
此外，尽管此类平台提供了匿名性，请勿用于犯罪用途，否则天网恢恢、疏而不漏，人在做，天在看，执法机构在抓捕！
更多暗网新闻动态，请关注“暗网下/AWX”。
在2024年遭受执法部门的打击并在2025年遭遇包括聊天记录、管理系统截图等内部数据的泄露后，LockBit勒索软件团伙已经销声匿迹许久，上个月，LockBit在一个暗网论坛上宣布推出了LockBit 5.0，并宣称其加密速度和规避策略均有所提升，新的版本具有增强的功能和改进的勒索软件面板。尽管LockBit曾是勒索软件界的领头羊，但过去一年中受害者数量大幅下降，与Akira和Qilin等竞争对手相比，目前仅有约60名受害者。
暗网勒索软件团伙LockBit的LockBit 5.0网站：lockbitfbinpwhbyomxkiqtwhwiyetrbkb4hnqmshaonqxmsrqwg7yad[.]onion
近期，趋势科技发布的一项新研究，证实了LockBit勒索软件团伙针对Windows、Linux和VMware ESXi系统部署了名为LockBit 5.0的新变种，这表明该团伙正在持续采取跨平台策略，攻击包括虚拟化环境在内的整个企业网络。新的Windows变种使用DLL反射技术加载有效载荷，并采用ETW修补等反分析技术。LockBit 5.0在所有平台上都实施了行为改进，包括随机化的16个字符文件扩展名和感染后日志清理程序。
由于过去的执法行动、源代码泄露以及新勒索软件团伙的崛起，LockBit的复兴面临挑战。业界对竞争对手提供的利润分享模式和高级功能的回应，给LockBit的复兴带来了障碍。在不断变化的威胁和监管审查中，LockBit力求重拾昔日的领先地位，网络安全领域仍需保持警惕。
LockBit is down again —XOXO from Prague
LockBit's 5.0 panel just got wrecked
lockbitfbinpwhbyomxkiqtwhwiyetrbkb4hnqmshaonqxmsrqwg7yad[.onion]#LockBit #Ransomware pic.twitter.com/mTZDlbXwJM
— xoxofromprague (@xoxofromprague) September 11, 2025 LockBit勒索软件的演变历史 LockBit勒索软件团伙作为一个高产的勒索软件即服务（RaaS）团伙，自2019年问世以来其LockBit勒索软件已历经多次版本迭代。尽管执法部门曾发起重大打击行动（2024年初的克罗诺斯行动）查获其服务器并泄露解密密钥，该团伙仍以LockBit 5.0版本卷土重来。最新版本被该团伙定位为“强势回归”，宣称具备更快的加密速度、更强的规避能力以及全面升级的联盟计划。
LockBit于2019年首次以ABCD勒索软件之名出现，其名称源于加密文件后缀“.abcd”。早期版本功能较为基础，仅专注于快速加密本地文件，尚未采用如今的高级战术。
2021年，LockBit 2.0实现了重大突破。该版本引入专为数据窃取设计的工具StealBit，使攻击者能大规模窃取敏感数据。同时新增通过SMB和PsExec实现的自动化传播功能，使附属攻击者能在企业网络中快速扩散。同期该团伙将攻击目标扩展至Linux和VMware ESXi系统，标志着其转向大型企业猎杀的战略转型。
2022年推出的LockBit 3.0将创新推向新高度。该团伙率先推出漏洞悬赏计划，公开邀请黑客协助改进其恶意软件及暗网网站。其采用间歇性加密技术加速攻击进程——仅对大文件进行分块加密，即可彻底破坏文件功能。此版本使LockBit稳居全球最活跃勒索软件团伙之首，当年报告的勒索事件中逾40%由其制造。2022年末泄露的构建工具包，让研究人员以及竞争对手能够一窥LockBit已具备的高度定制化能力。
到2024年底，LockBit通过推出LockBit 4.0回应执法压力。该版本几乎是完全重写，采用.NET Core开发，具备模块化架构和增强的隐蔽性。打印机垃圾邮件等高噪音功能被移除，取而代之的是API解钩、混淆技术和更隐蔽的执行机制。加密速度达到新高度，能在数分钟内瘫痪大型网络。附属成员获得更多灵活性：支持定制勒索信函，并兼容Linux及VMware ESXi环境。
如今，在经历全球性打击行动与内部泄密后，该勒索软件团伙正试图通过LockBit 5.0全面复苏，并纪念该团伙成立六周年。新版延续模块化设计，引入更强效的现代EDR规避机制，并推出改良版附属激励计划以重建网络。最终打造出比历代版本更快、更具韧性且适应性更强的勒索软件变种。
新推出的LockBit 5.0比以往要危险的多 趋势科技研究显示，新推出的LockBit 5.0勒索软件变种，比以前的版本“危险得多”，并且正在野外部署。研究人员已经发现了一个Windows二进制文件，该网络安全公司在一篇博客中证实了LockBit 5.0的Linux和VMware ESXi变体的存在。
研究人员指出，Windows、Linux和VMware ESXi变体的存在证实了LockBit持续的跨平台策略。这使得攻击者能够同时攻击整个企业网络，从工作站到托管数据库和虚拟化平台的关键服务器。这些变体为附属机构提供了更详细的部署选项和设置。
除了简单地更新加密器之外，此版本还整合了工具、反分析和操作员工效学，使攻击者能够在同一攻击活动中同时攻击Windows、Linux和VMware ESXi。其结果是一条完善的杀伤链：更隐蔽的入侵、更快的加密前防御抑制，以及可延长停机时间的虚拟机管理程序级影响。
对于虚拟化关键工作负载的企业而言，LockBit 5.0勒索软件模型的风险更高；防御者必须将虚拟机管理程序视为Tier-0级别，并假设其爆炸半径远远超出单个端点。
LockBit 5.0勒索软件并非彻底重写，而是对成熟代码库的积极演进，优先考虑规避攻击和速度。其跨平台设计使攻击者无需切换技术，即可在不同操作系统之间顺利切换，而随机扩展、日志篡改和区域设置检查等常见行为则使检测工程更加复杂。
至关重要的是，ESXi加密器以虚拟机数据存储为目标，将一台受感染的主机转化为数十个加密服务。结合加密前的终止服务和Windows上的遥测致盲技术，LockBit 5.0最大限度地缩短了响应者的时间窗口，并削弱了常见的遏制模式，例如网络结构内快照和同网络备份。
此外，LockBit 5.0版本包含重大技术改进，包括删除感染标记、加快加密速度和增强规避能力。趋势科技的研究人员警告称，尽管执法部门在2024年初对LockBit基础设施进行了打击行动，但该团伙通过“积极改进”其策略、技术和程序（TTP），展现出了韧性和保持领先于竞争对手的能力。