2025年,初始访问经纪人(Initial Access Brokers,IAB)已从暗网论坛的边缘角色,演变为勒索软件供应链的核心供应商。他们不再亲自部署恶意软件,而是专注于窃取企业凭证、VPN访问权限和暴露的基础设施,然后在犯罪市场上出售这些访问权限。欧洲威胁评估报告将IAB描述为"犯罪即服务"生态系统的关键推动者,其交易的数据和入口点为勒索软件攻击提供了燃料。欧盟刑警组织(Europol)2025年的《偷、卖、重复》报告指出,IAB的活动将单一入侵转化为多次下游事件,显著提升了勒索软件攻击的效率和规模。IAB的运作模式已从个体黑客行为转向结构化供应链。典型的IAB会通过合法凭证、远程访问服务、云管理面板或Active Directory的初始入口,在邀请制论坛或私人Telegram频道上拍卖这些访问权限。
安全服务提供商的定义强调,IAB已成为专门渗透系统并将入口点出售给其他犯罪分子的专业人士。市场的工业化程度不断提升,访问权限的价格因受害者收入、地理位置、行业和访问级别而有所不同,许多中型企业的访问权限价格已低于1000美元。开源情报显示,IAB越来越多地将后渗透工具和横向移动脚本捆绑在访问权限中,将原始访问转化为接近成品的入侵包。这一趋势表明,访问经纪业务已发展成为结构化的商业服务线。IAB的兴起对勒索软件攻击的影响深远。欧盟刑警组织2025年《互联网有组织犯罪威胁评估》(IOCTA)报告将IAB、下载即服务运营商和加密工具开发者描述为高级网络犯罪分子的"关键支持者",将数据窃取与后续勒索软件攻击和欺诈行为联系起来。
报告指出,犯罪市场活动的增加,加上IAB的专业化,使勒索软件组织能够以更少的侦察努力攻击更多受害者。2025年8月,Jaguar Land Rover(JLR)遭受的网络攻击是IAB影响力的典型案例。该事件迫使JLR关闭核心IT系统,导致每天约1000辆汽车的生产中断,并对供应链造成严重影响。英国政府不得不提供20亿英镑的贷款担保以稳定供应商。尽管公开报告尚未确认IAB是否参与,但事件的特征与经纪访问交易高度吻合:复杂的全球IT系统、凭证重用或脆弱的远程访问系统,以及影响主要受害者和数百家依赖供应商的勒索软件式关闭。JLR事件表明,经纪访问不仅是IT风险,更是系统性暴露,可能导致物理生产停工数周。
另一个案例是"ToyMaker"访问经纪人,其专门针对关键基础设施组织,通过利用面向互联网的服务器部署自定义后门LAGTOY,并大规模提取凭证。在初期侦察后,ToyMaker将访问权限转交给Cactus勒索软件组织,后者进行网络范围枚举、数据外泄和加密。该案例展示了现代攻击的多周时间线和分工协作,初始访问已成为勒索软件管道的独立、可货币化阶段。从侦察技术和程序(TTPs)的角度来看,IAB活动通常模糊了入侵和凭证窃取之间的界限。在MITRE ATT&CK矩阵中,典型技术包括使用有效账户进行初始访问(T1078)、利用面向公众的应用程序(T1190)和滥用远程服务(T1021)。信息窃取恶意软件通常用于上游,窃取浏览器存储的密码和会话cookie,这些凭证随后被出售为访问包。
澳大利亚网络安全中心(ACSC)2024-2025年威胁报告描述了典型链条:信息窃取恶意软件感染受害者,数据在市场上出售,IAB购买并验证访问权限,然后再出售给勒索软件运营商。法律执行和国家网络安全机构越来越将IAB视为高价值目标,而不仅仅是边缘角色。欧盟刑警组织强调,访问经纪人、加密工具开发者和下载即服务运营商位于犯罪即服务生态系统的核心,打击其基础设施可对下游勒索软件运营产生重大影响。这一动态与勒索软件即服务激励机制的变化相一致,访问质量和供应链覆盖范围越来越多地决定了附属收入模式。然而,许多组织仍缺乏结构化的方式来监控与自身攻击面相关的IAB活动。澳大利亚2024-2025年网络环境更新报告指出,事件数量增加了11%,财务损失也在增长,访问经纪业务被明确指出是从普通恶意软件到高影响事件的路径。
安全厂商的报告将IAB视为正式的供应链风险,建议大型企业将地下访问列表视为第三方风险指标。对于首席信息安全官(CISO)来说,整合访问经纪业务到威胁模型至关重要。这包括映射公开面向互联网的资产、远程访问服务和高价值SaaS租户,然后监控泄露的凭证、访问列表和与这些资产匹配的IAB交谈。VPN、身份提供商和远程管理工具应被视为皇冠珠宝入口点,强制执行强身份验证,积极清理不活跃账户,监控不可能旅行和异常VPN源IP,并进行足够深入的日志记录以重建攻击者首次登录的情况。组织应建立假设访问已被出售的应急响应方案,包括快速凭证重置、设备重新映像、合作伙伴通知和对可能共享基础设施或凭证的关键供应商的检查。2025年IAB的兴起表明,网络安全威胁已从单一攻击演变为复杂的供应链网络。
企业必须采取主动措施,监控暗网活动,保护关键访问点,并建立快速响应机制,以应对这一不断演变的威胁。 。
