黑帽圈子里最近最热闹的黑帽最新事，不是黑帽最新哪个新漏洞的PoC公开，而是黑帽最新Telegram上几个老牌黑产频道突然集体“搬家”。上个月底，黑帽最新一个叫“DarkGate”的黑帽最新团伙把运营了三年的频道清空，只留了一条俄语公告：“这里不再安全，黑帽最新去新地方找我们。黑帽最新”三天后，黑帽最新他们在另一个加密通讯软件上重建了基地，黑帽最新入群门槛从原来的黑帽最新500美元月费直接翻倍到1200美元。这不是黑帽最新孤例。我追踪的黑帽最新七个黑帽资源站里，五个在过去六周内更换了域名和支付通道，黑帽最新其中一个甚至开始要求用门罗币结算——比特币的黑帽最新链上分析工具已经让他们的资金流变得太透明了。

安全公司Recorded Future上周发了一份报告，黑帽最新说2024年第二季度黑帽论坛的活跃用户数环比下降了18%。数字看着挺吓人，但别急着高兴。下降的原因不是执法打击有多猛，而是头部玩家主动收缩了。真正干活的那批人转去了更封闭的小圈子，Discord私密服务器、Matrix房间、甚至回归IRC。留下的公开论坛里，充斥着卖教程的骗子和倒卖旧数据的二道贩子。一个做勒索软件附属成员招募的中介告诉我，现在招人得先视频验证，还要提供过往攻击的流量日志。“FBI的钓鱼账号太多了，上个月我差点把一个假买家拉进群。”

技术层面有个变化挺有意思。以前黑帽们最爱吹的是零日漏洞，现在风向变了。CVE-2024-3400（PAN-OS命令注入）公开后48小时内就出现了大规模扫描，但真正利用成功的案例很少。为什么？因为边界设备厂商的自动更新机制越来越快，留给攻击者的窗口期从平均两周压缩到了三四天。所以黑帽们开始把精力转向供应链攻击和身份认证绕过。一个专门做初始访问代理的家伙在私聊里跟我说，他手里最值钱的不是RCE，而是能绕过Okta和Azure AD多因素认证的“中间人钓鱼套件”。“企业买再多的EDR也没用，员工在假登录页面上输一次验证码，我就能拿到会话令牌。”

执法这边也有新动作。欧洲刑警组织上个月协调了十四个国家，端掉了一个叫“GhostMarket”的暗网市场。抓了十二个人，但主谋据说在行动前四小时收到了风声。内部人士透露，泄密源头可能是某个参与国的执法终端被植入了恶意软件——讽刺得很，抓黑帽的人自己用了黑帽的工具。更早之前，美国司法部起诉了四名“Scattered Spider”成员，其中两个是未成年人。他们的攻击手法没什么高科技含量，就是打客服电话冒充员工，骗过Help Desk重置密码。SIM卡交换攻击的数量今年涨了40%，运营商的内鬼比技术漏洞更管用。

地下经济也在通胀。去年一个企业网络的初始访问权限均价是3500美元，现在涨到了5500。勒索软件谈判的平均赎金从15万美元跳到了22万，但支付率从65%跌到了41%。保险公司收紧理赔标准是主因，很多企业发现买了网络险也拿不到全额赔付，干脆不付了。一个勒索软件谈判代表跟我说，他现在接的案子里有三分之一是“数据泄露+勒索”的组合拳——先偷数据，再加密系统，最后拿泄露时效来逼企业掏钱。“以前只加密的时候，企业还能从备份恢复。现在备份没用了，因为数据已经在暗网上挂出来了。”

最后说个观察。黑帽圈子正在经历一次代际更替。老一派讲究技术炫技，喜欢在论坛里发带日期的截图证明“首发”。新一派更务实，直接做钓鱼即服务（PhaaS）和勒索软件即服务（RaaS），按订阅收费，提供24小时客服。一个19岁的RaaS运营者跟我说，他从不碰代码，只负责搭建基础设施和洗钱。“漏洞让别人去找，我只管收钱。”这种分工细化让追踪变得更难，但也让攻击链变得更脆弱——只要掐断支付通道，整个服务就会停摆。问题是，门罗币和混币器的门槛正在降低，掐断谈何容易。