多平台勒索軟體：現狀、類型和防禦措施

資訊科技數位 » recursos » 多平台勒索軟體：現狀、類型和防禦措施

跨平台勒索軟體已成為企業、公共機構和各類組織面臨的最棘手的問題之一。我們現在不僅要討論影響 Windows 電腦的病毒，還要討論能夠加密 Linux 伺服器、ESXi 虛擬機器管理程式、虛擬機器上資料的勒索軟體家族，而且這些病毒家族越來越多地利用人工智慧來自動化攻擊。

近年來，我們目睹了大量以 Rust、Go 或 C++ 編寫的新型勒索軟體家族的湧現，勒索軟體即服務 (RaaS) 模式的爆炸式增長，以及針對關鍵基礎設施和企業網路的精準攻擊。同時，事件回應團隊和網路安全實驗室一直在深入研究這些攻擊的運作機制，發現設計缺陷，發布解密工具，並記錄日益複雜的戰術、技術和流程 (TTP)。

什麼是跨平台勒索軟體？為什麼它的數量會激增？

當我們談到跨平台勒索軟體時，指的是能夠在多個作業系統上運行的惡意軟體，通常是 Windows 和 Linux，而且往往也能在 VMware ESXi 等虛擬化環境中運作。實現這一突破的關鍵在於使用現代程式語言，例如 Rust、Go，或在較小程度上使用 C/C++，並針對特定架構進行建置。

目標很明確：最大限度地擴大攻擊在單一企業網路中的影響範圍。如果攻擊者獲得網路環境的存取權限，他們希望能夠加密使用者電腦、伺服器、網域控制器、NAS 設備（請參閱NAS 防護）、虛擬機器以及任何儲存重要資訊的資產。這將顯著增強勒索談判的籌碼。

Rust 和 Go等語言具有平台無關性，可以相對輕鬆地編譯適用於不同系統和架構（x86、x86_64、ARM 等）的二進位。 BlackCat、Hive、Luna、Akira、PromptLock 等專案組以及其他一些新興專案組都利用了這一點，他們並不滿足於只針對單一類型的系統。

此外，許多網路犯罪集團都採用了勒索軟體即服務 (RaaS)模式，在這種模式下，惡意軟體開發者將其平台出租給關聯方。這些關聯方負責入侵網路並部署勒索軟體，以換取贖金分成。這種方式鼓勵編寫模組化、易於移植且可在多種環境下無縫運行的程式碼。

01flip：一款針對 Windows 和 Linux 的跨平台 Rust 勒索軟體

近期的一個例子是01flip，這是一款完全用 Rust 編寫的勒索軟體，已被發現攻擊亞太地區網路上的 Windows 和 Linux 系統，這使得Linux 系統管理對防禦至關重要。研究人員已將其與編號為 CL-CRI-1036 的活動聯繫起來，該活動與以經濟利益為目的的網路犯罪有關。

最早的跡像出現在2025年6月初，當時在一個隔離環境中分析了一個可疑的Windows可執行文件，該文件表現出典型的勒索軟體行為。該二進位檔案既沒有打包也沒有經過高度混淆處理，這使得確認它是真正的Rust程式碼成為可能。 「01flip」這個名稱來自它附加到加密檔案的副檔名（.01flip）以及勒索信中的聯絡位址（01Flip@protonme）。

隨後，透過對惡意軟體共享平台上的樣本進行分析，發現了一個至少三個月未被發現的 Linux 版 01flip。攻擊者利用 Rust 語言和交叉編譯技術，僅更改了平台特定的依賴項，就使兩個變種的內部邏輯幾乎完全相同。

rustbininfo等工具顯示，Windows 和 Linux 二進位檔案中的 Rust 版本、提交雜湊值以及大多數函式庫（crate）都相同。這表明團隊重用了相同的原始碼，只需進行極少的修改即可編譯到不同的系統上，這也是這種跨平台方法的主要優勢之一。

就實際影響而言，目前僅發現少數受害者，儘管其中一些受害者負責東南亞的關鍵社會基礎設施。有證據表明，與CL-CRI-1036相關的暗網論壇上存在資料洩露，但受影響組織的總數仍然未知。

01翻轉攻擊鏈：初始入侵、橫向移動與部署

對 01flip 攻擊所入侵網路的取證分析顯示，攻擊者採用了相當手動且有針對性的攻擊方式。在一個有記錄的案例中，攻擊者在 2025 年 4 月初開始探測網路邊界，試圖利用面向互聯網的應用程式中存在的較舊漏洞，例如 CVE-2019-11580。

雖然無法確定具體的攻擊入口，但有強有力的證據表明，攻擊者在受害者的Linux機器上部署了Sliver——一個用Go語言編寫的知名開源跨平台攻擊者模擬和C2框架。在首次攻擊嘗試發生一個月後，偵測到了一個使用TCP樞軸設定檔運行的Sliver信標。

憑藉這種整合的存取權限，CL-CRI-1036 背後的組織於 2025 年 5 月下旬橫向轉移到其他 Linux 機器，下載新的 Sliver 植入程式以擴大其在網路中的影響力。 01flip 勒索軟體的部署發生在之後，當時攻擊者已經熟悉了環境並擁有足夠的管理權限。

在事件的最後階段，偵測到同一組織內的 Windows 和 Linux 機器上幾乎同時執行多個 01flip 執行個體。雖然內部傳播的具體方式尚不清楚，但可以合理推測，它們利用了 Sliver 的功能和其他模組來實現以下目的：

• 執行互動式識別 系統和服務。
• 下載憑證 並提升網域內的權限。
• 進行橫向移動 向其他關鍵部分和伺服器。

攻擊者在通訊中索取最高 1 個比特幣 (BTC) 的解密費用，並使用加密管道（安全電子郵件和私訊）與受害者進行談判。至少在此次攻擊活動中，沒有發現類似大型 RaaS 組織使用的公開雙重勒索門戶網站，儘管在感染發生後不久，就在暗網論壇上發現了一個疑似出售數據的帖子。

01flip 的內部運作機制：加密、規避和消除痕跡

01flip 背後的邏輯相對簡單，但其中包含一些值得注意的工程細節。一旦在受感染的系統上執行，該勒索軟體將執行以下操作：

1. 列出所有無障礙單元 （在 Windows 系統中，從 A: 到 Z:；在 Linux 系統中，掛載的檔案系統）尋找可寫入目錄的最大數量。
2. 建立一個名為 RECOVER-YOUR-FILE.TXT 的勒索信 在他擁有寫入權限的每個資料夾中，都包含聯絡資訊和談判期間使用的加密資訊區塊。
3. 重新命名目標文件 遵循這種模式。 .<0 或 1>.01flip，以便識別每個受害者並區分某些加密參數。
4. 使用 AES-128-CBC 加密文件內容 使用為每個系統產生的對稱會話金鑰。
5. 使用嵌入式 RSA-2048 公鑰加密該會話金鑰 將其包含在二進位檔案中，並包含在贖金信中，這樣只有擁有私鑰 RSA 的人才能產生解密器。
6. 它在執行結束時自我消滅。 使法醫分析更加複雜。

在規避方面，01flip 的特點是盡可能使用原生 API 和底層呼叫。在 Windows 系統上，它使用核心函數而非通常受到安全解決方案更嚴密監控的高階 API。在 Linux 系統上，它也類似地使用直接系統呼叫。這種策略並非萬無一失，但有助於將惡意活動偽裝在作業系統正常的運作環境中。

另一層混淆手段是將敏感字串加密在二進位檔案中。贖金資訊、贖金資訊的檔案名稱、待處理的檔案副檔名清單以及RSA公鑰本身都以加密形式儲存。運行時，透過對位元組對應用簡單的減法（SUB）運算來解密這些資訊。根據每個字串的長度，它會被放置在可執行檔的.text或.data段中。

矛盾的是，01flip 還包含一種小型反沙箱技術：它會檢查可執行檔名是否包含字串「01flip」。如果偵測到，它會直接刪除自身，而不會啟動加密。當實驗室系統重新命名樣本時，這會稍微增加自動分析的難度，但這仍然是一個相當基本的技巧。

痕跡清除模組更為複雜。加密階段完成後，勒索軟體會嘗試用隨機資料覆蓋自身的二進位文件，然後將其從磁碟中刪除，Windows 和 Linux 系統均適用。實際上，它會使用特定於平台的命令：

• 在 Windows 系統上：合併 首先執行 ping 指令來暫停文件，然後使用 fsutil 指令將文件清零幾兆字節，最後強制刪除檔案。 （來自 /f /q）。
• 在 Linux 系統上：使用 使用 dd 指令並指定 /dev/urandom，將可執行檔本身填入幾兆位元組的隨機資料。 然後它啟動了一個靜默的 rm。

加密排除策略及其與 LockBit 的可能關聯

與其他勒索軟體家族一樣，01flip 也包含一個檔案副檔名列表，它永遠不會加密這些副檔名。此排除清單的目的是避免作業系統無法使用，並確保對攻擊者至關重要的服務（例如管理工具或系統二進位檔案）能夠繼續運行，從而保持環境穩定，使受害者能夠與攻擊者溝通並支付贖金。

在被排除的副檔名中，我們發現了大量的可執行檔和系統類型：exe、dll、sys、bat、cmd、com、msi、msu、ocx、so、o、bin、rom、winmd、驅動程式 (drv)、字型和字型 (ttf、woff、otf、fnt、fon)、視覺資源 (icos、curache)、cache、cache、cache)、視覺資源 (Cachet、curache)、Sachet. (lock) 或安裝包 (deb、dmg、apk、app、cab、iso) 等等。

01flip 忽略了所有以.lockbit 結尾的文件，這一點尤其值得注意，因為這種擴展名通常不會被合法使用。 01flip 會忽略所有以 .lockbit 結尾的文件，這一事實讓分析人員懷疑它可能與臭名昭著的 LockBit 勒索軟體背後的組織存在某種關聯，一些供應商將其追蹤為 Flighty Scorpius。

然而，除了代碼中這一巧合之外，目前尚未發現任何TTP（戰術、技術和程序）、基礎設施或交易模式能夠明確指向CL-CRI-1036與LockBit之間的直接聯繫。這可能是一種有意為之的暗示，一種避免交易衝突的方式，或僅僅是從公開樣本中提取的程式碼片段。

總而言之，排除清單是勒索軟體設計的重要組成部分，因為它允許系統繼續啟動，並避免破壞受害者存取勒索信、與環境互動以及（如果他們選擇這樣做）支付贖金所必需的元素。

ESXi、Rust、Go 環境以及跨平台勒索軟體的興起

多家公司的安全實驗室觀察到，除了Windows和Linux系統外，針對ESXi虛擬機器管理程式的勒索軟體家族數量也在穩定成長。由於企業基礎設施已高度虛擬化，攻破ESXi伺服器後，攻擊者可以一次加密數十甚至數百台虛擬機器。

例如， Luna 組織使用 Rust 編寫的勒索軟體，能夠同時攻擊 Windows、Linux 和 ESXi 系統。卡巴斯基的分析發現，Luna 組織在暗網論壇上發布了廣告，明確表示他們只與講俄語的合作夥伴合作。這一細節，加上勒索信中嵌入二進位檔案中的某些拼字錯誤，都表明該組織可能源自俄羅斯。

另一個值得關注的案例是Black Basta，這是一個用 C++ 編寫的勒索軟體家族，自 2022 年出現以來，已感染了 40 多個組織，主要集中在美國、歐洲和亞洲。 Black Basta 和 Luna 都有針對 ESXi 的特定變種，這進一步印證了將虛擬化層作為單點故障進行攻擊的趨勢。

同時，BlackCat 和 Hive 等組織也開始使用 Rust 和 Go 語言。特別是 Hive，它將這兩種語言整合到其工俱生態系統中，並已成為針對 RaaS 模式的跨平台勒索軟體的經典案例，擁有聯盟控制面板、受害者管理功能以及高度精細的雙重勒索策略。

研究人員傳達的潛在訊息很明確：選擇 Rust 和 Go 等語言可以減少在不同平台之間移植勒索軟體所需的工作量，有助於規避傳統的靜態簽名，並且由於二進位檔案的特殊結構和編譯優化，會使實驗室的逆向分析變得更加複雜。

VolkLocker（Cyber​​Volk 2.x）：RaaS、基於 Telegram 的自動化以及重大故障

另一個近期出現的跨平台勒索軟體案例是VolkLocker，它與親俄駭客組織Cyber​​Volk的復興有關。這項名為Cyber​​Volk 2.x的新行動採用了勒索軟體即服務（Ransomware-as-a-Service）模式，使得一些技術能力有限但渴望透過存取被入侵網路牟利的組織也能參與其中。

VolkLocker旨在攻擊Windows、Linux和ESXi環境中的關鍵基礎設施，它整合了自動化功能，能夠執行命令、提升權限，甚至利用計時器啟動破壞性功能。其獨特之處在於使用Telegram作為命令與控制通道，依靠機器人和訊息傳遞API來接收指令、發送命令結果，並協調不同受感染系統之間的操作。

從技術層面來看，它整合了繞過Windows使用者帳戶控制（UAC）以提升權限的機制，以及在滿足特定時間條件或受害者試圖幹擾加密過程時刪除或損壞資料的模組。所有這些都符合相當專業的RaaS（資料存取即服務）理念。

然而，安全分析揭示了一個非常嚴重的設計缺陷：主加密金鑰被靜態編碼在二進位檔案中，並以明文形式儲存。這意味著，一旦二進位檔案被提取和檢查，就可以在不支付贖金的情況下重建金鑰，從而使受害者能夠開發解密工具。

這種漏洞讓人想起其他勒索軟體的早期版本，當時加密演算法的實作有缺陷，使得研究人員能夠發布免費的解密器。然而，犯罪集團通常會從這些缺陷中吸取教訓，並在之後發布修復版本，因此，抓住這個漏洞帶來的漏洞至關重要。

PromptLock：首款由人工智慧驅動的勒索軟體

在創新領域，ESET 將PromptLock 描述為首個由人工智慧驅動的勒索軟體。據目前所知，它仍處於概念驗證或開發階段，尚未在實際攻擊中出現，但它顯示了此類威脅未來的發展方向。

PromptLock 使用 Go 語言編寫，並有 Windows 和 Linux 版本，再次充分利用了該語言的跨平台特性。最令人印象深刻的是，它透過 Ollama API 在本地整合了 OpenAI 的 gpt-oss-20b 模型，利用 AI 技術動態產生惡意 Lua 腳本。

這些Lua 腳本由惡意軟體內部編碼的提示訊息建構而成，用於執行多項任務：枚舉檔案系統、識別目標檔案、竊取特定數據，以及最終執行加密。人工智慧則充滿引擎，根據上下文調整攻擊邏輯，從而實現更動態的行為。

PromptLock 的研究結果凸顯了公開可用且易於存取的 AI 工具可以被重新用於惡意目的，以以前需要大量人工投入的速度和規模自動執行勒索軟體攻擊的關鍵階段（偵察、文件分析、目標選擇等）。

對於防禦團隊而言，這意味著攻擊的數量、複雜性和適應性可能會增加，尤其是在未來的勒索軟體家族融合人工智慧、跨平台功能和勒索軟體即服務 (RaaS) 商業模式的情況下。 ESET 預計勒索軟體將隨著人工智慧的發展而持續成長，並建議密切關注即將出現的新趨勢，這些趨勢將在專門針對人工智慧攻擊性應用的報告和白皮書中詳細闡述。

更多跨平台威脅：FakeSG、Akira 和 macOS 版 AMOS 竊取程序

卡巴斯基的 GReAT 團隊還記錄了其他符合這種多平台犯罪軟體格局的活動和家族，其中勒索軟體與憑證竊賊和高級分發系統共同成為焦點。

其中日益嚴重的威脅是FakeSG，這是一種攻擊活動，攻擊者入侵合法網站，使其顯示虛假的瀏覽器更新通知。點擊這些通知會下載惡意文件，該文件會執行隱藏腳本，建立命令與控制 (C2) 存取權限，並允許攻擊者控制系統或部署其他類型的惡意軟體，包括勒索軟體。

在加密領域，Akira 已成為一種攻擊 Windows 和 Linux 系統的勒索軟體變種。在短時間內，它已影響了多個行業（零售、教育、消費品等）的 60 多家機構。它與臭名昭著的 Conti 勒索軟體有一些共同特徵，例如幾乎相同的資料夾排除清單和獨特的 C2 控制面板，其介面經典而強大，難以被分析。

同時，針對 macOS 的竊取程式生態系統也出現了顯著成長，而 macOS 歷來比 Windows 受到的攻擊更少。 AMOS（Atomic macOS Stealer）竊取程式最初於 2023 年 4 月出現，並透過 Telegram 頻道以每月約 1.000 美元的價格出售。

隨著時間的推移，AMOS從最初的 Go 語言編寫演變為用 C 語言重寫，並採用了越來越激進的傳播方式，例如在模仿官方軟體頁面的網站上投放惡意廣告。一旦安裝，它就會竊取用戶憑證、敏感資料和其他機密信息，並用唯一的 UUID 來識別每次感染。這種竊取工具表明，跨平台攻擊不再是勒索軟體的專屬，而是擴展到了網路犯罪分子的其他攻擊手段。

勒索軟體的歷史、演進與勒索模式

要了解當前形勢，必須記住勒索軟體並非新鮮事。最早有廣泛記錄的案例是1989年的AIDS木馬或PC Cyborg，它會加密電腦C盤上的文件名，並要求用戶向巴拿馬的一個郵政信箱支付189美元，以換取所謂的解密工具。

最初的簡單勒索攻擊已經演變為雙重、三重甚至四重勒索模式。在諸如 Maze（2019 年）這樣的攻擊中，犯罪分子不僅加密數據，還威脅說如果不支付贖金就將其公開。 2021 年的 Avaddon 攻擊則增加了對拒絕支付贖金的受害者發動分散式阻斷服務 (DDoS) 攻擊的可能性。四重勒索還包括對目標組織的客戶和合作夥伴施壓，從而加劇聲譽損害。

勒索軟體已在犯罪生態系統中演變成一個結構完善的市場。諸如勒索軟體即服務 (RaaS) 之類的模式，使得技術水平較低的犯罪分子能夠利用包含惡意軟體、控制面板、支付基礎設施和聯盟支持的完整平台發動攻擊活動。 Hive 就是這種多平台、服務導向的模式的典型例子。

有些駭客組織甚至實施了內部漏洞賞金計劃，向發現並報告程式碼缺陷的人支付報酬，以提升其營運的安全性，例如 LockBit。這種諷刺恰如其分地概括了他們的「專業水平」：一邊攻擊其他公司和用戶的安全，一邊卻竭力保護自己的「產品」。

勒索軟體的興起部分原因在於其易於傳播以及感染途徑的多樣性：網路釣魚、漏洞利用、惡意下載、文件中的巨集、對暴露的遠端桌面協定 (RDP) 的攻擊等等。此外，暗網市場和輔助服務（殭屍網路租賃、存取權限出售、加密貨幣洗錢）的存在，構成了一條高度成熟的犯罪價值鏈。

常見的感染方法、規避技術和加密方法

多年來，不同的勒索軟體家族不斷改進和組合多種入侵方式。許多攻擊活動仍然圍繞著網路釣魚郵件展開，就像當年的 TeslaCrypt、CERBER、Nemucod、LECHIFFRE、MirCop 和 Stampado 一樣，利用欺騙性的附件或連結來執行初始惡意程式碼。

其他組織則依賴攻擊合法網站的漏洞利用工具包，例如 CryptXXX、SNSLocker、XORIST 或 DXXD，這樣，只需訪問一個易受攻擊的頁面，就足以嘗試利用瀏覽器或過時插件中的一系列漏洞。

惡意軟體的下載和更新也十分常見，例如 BadBlock、777、DemoTool、Crysis 和 TeleCrypt 等案例，這些軟體看似合法的安裝程式實際上隱藏著勒索軟體。同時，AutoLocky 和 ​​XORBAT 等勒索軟體家族利用辦公室文件中的宏，誘騙使用者啟用某些功能，從而觸發惡意程式碼。

一些最臭名昭著的案例，如 WannaCry、Petya、Chimera、Jigsaw、Globe/Purge 或 Teamxrat/Xpan，其特點是利用網路漏洞並在組織內部自主傳播，影響伺服器、工作站和共享資源，幾乎不需要人為幹預。

在加密之前，許多此類惡意程式會停用安全相關的服務和進程，刪除卷影副本和還原點，並修改系統設置，以確保其持久存在並阻礙復原。攻擊結束後，它們通常會清除痕跡和日誌，以妨礙取證分析。

在加密方面，WannaCry 和 Petya 等勒索軟體家族使用了 AES 和 RSA 等強大的演算法，其實現方式使得理論上沒有相應的金鑰就無法逆向破解。而 XORIST、XORBAT 和 Stampado 等其他勒索軟體家族則選擇了各自的演算法或改進版本，但這些演算法在某些情況下已被證明容易受到密碼學分析的攻擊。

消毒解密工具：趨勢科技案例

為了應對攻擊激增，網路安全生態系統已開始發布針對越來越多勒索軟體家族的解密工具，使受害者能夠在無需支付贖金的情況下恢復資料。一個重要的例子是趨勢科技勒索軟體檔案解密器，它支援多種勒索軟體變種，例如CryptXXX、TeslaCrypt、SNSLocker、AutoLocky、BadBlock、777、XORIST、XORBAT、CERBER、Stampado、Nemucod、Chimera、LECHIFFRE、MirCop、Jigsaw、Globe/Purge、DXXD、Teamx/TannaC、Cop、TZ、Cry。

若要使用該工具，請下載並解壓縮其內容，然後執行 RansomwareFileDecryptor.exe 檔案。接受許可協議後，介面允許您選擇涉及的勒索軟體家族，指定加密檔案的位置，並開始解密過程，或查閱從硬碟復原檔案的指南。

在某些變種加密演算法（例如 CyptXXX V1、XORIST、XORBAT、NEMUCOD 或 TeleCrypt）中，該工具需要兩個檔案：一個加密檔案和一個未加密的副本，以便推斷金鑰或復原方法。建議這兩份文件盡可能大，以便於分析。

該過程並非沒有限制。 CryptXXX V3 僅允許部分解密，並且對於某些檔案類型可能需要額外的工具。 BadBlock 可以加密關鍵系統元件，從而延長啟動時間。 CERBER 需要在受感染的機器上執行解密，其耗時取決於 CPU 效能。 Globe/Purge 使用暴力破解，耗時可能非常長，而且在處理 FAT32 卷時也存在問題。

以 WannaCry 為例，解密依賴在活動進程的記憶體中找到私鑰，因此只有在勒索軟體仍在運行時才能成功，並且在 Windows XP 系統上尤其有效。而 Petya 則需要特定的步驟才能在從修改後的 MBR 中還原加密金鑰後還原作業系統。

即使有這些限制，解密工具的存在也顯著降低了攻擊者的經濟動機。每當一個有效的解密器發布，願意付費的受害者比例就會下降，對犯罪者的商業模式構成壓力。然而，犯罪集團通常會迅速做出反應，修復漏洞並發布新的、更具抵抗力的變種。

針對多平台勒索軟體的防護建議

有鑑於此，專家一致認為預防和早期檢測至關重要。卡巴斯基、ESET 和其他安全廠商建議的一些措施包括：

• 不要暴露遠端桌面服務 (RDP) 或其他管理存取權限 除非絕對必要，否則不要直接連接到互聯網，並且始終使用強密碼、多因素身份驗證 (MFA) 以及（如果可能的話）VPN 進行保護。
• 防禦策略的重點應放在偵測橫向移動和資料外洩。密切監控出站流量和與外部伺服器的異常連線。
• 實施 EDR/XDR 解決方案和託管檢測服務 （例如 Kaspersky EDR Expert、Managed Detection and Response 或 Cortex XDR/XSIAM）結合了行為分析、機器學習和事件關聯，可在早期階段識別可疑活動。
• 對員工進行培訓並提高其意識 透過專門的培訓計劃，降低他們落入網路釣魚郵件陷阱或安裝惡意軟體的可能性。
• 及時掌握威脅情報利用專門的入口網站匯總有關活躍攻擊活動、入侵指標 (IoC) 和攻擊者使用的真實戰術、技術和程序 (TTP) 的資訊。
• 主動管理攻擊面使用 Cortex Xpanse 等攻擊面管理工具識別暴露於網際網路的易受攻擊服務（例如受 CVE-2019-11580 影響的 Atlassian Crowd Server）。

對於那些懷疑自己可能成為嚴重安全事件受害者的用戶，諸如42部隊等專業機構提供的事件響應服務可透過北美、歐洲、亞太地區、日本、澳洲、印度和韓國的專用電話熱線提供緊急支援。此外，網路威脅聯盟等組織也促進了安全公司之間的技術情報交流，以加速安全防護措施的發展並打擊犯罪網路。

鼓勵各組織向其所在國家的電腦緊急應變小組 (CERT)、相關執法機構和網路安全服務提供者報告任何詐欺企圖、網路攻擊或安全漏洞跡象。共享的資訊越多，就越容易識別攻擊模式並阻止正在進行的攻擊活動。

目前情況清晰地表明，跨平台勒索軟體已從技術上的罕見現象演變為最活躍勒索軟體團伙的常用手段，其背後有Rust和Go等程式語言、勒索軟體即服務（RaaS）模式、對ESXi環境的利用、人工智慧整合以及雙重或三重勒索活動的支援。面對這種情況，預防、進階監控、協同回應和公開解密計畫的結合對於在日益惡劣的數位環境中繼續運作至關重要。