Jadepuffer 的第二波浪潮改变了什么
勒索软件团伙近年来逐渐趋同于一套单一剧本：先窃取数据，再加密数据，然后威胁受害者如不付赎金就泄露一切。这被称为双重勒索，几乎已成为所有像样勒索团伙的默认运作模式。Jadepuffer 却打破了这一套路。
有关其卷土重来的报道显示，最新版恶意软件完全跳过了数据盗窃这一步。没有数据外泄，没有被窃文件出现在泄露网站上，也没有在第一层威胁之上叠加第二层威胁。取而代之的是，Jadepuffer 直接加密。受害系统中的文件被锁定，弹出勒索信，而攻击者唯一的筹码就是提供（或威胁不提供）解密密钥。仅此而已。没有被盗的客户记录，没有泄露的合同，也没有暗网拍卖。
表面上看，这对攻击者似乎是一种倒退。双重勒索之所以存在，是因为它确实奏效：即使拥有可靠备份的组织有时也会付款，只为了阻止被盗数据被公之于众。理论上，放弃这一手段应该会降低 Jadepuffer 的威力。但报道表明，情况恰恰相反：这一新版本被描述为比第一版规模更大、更凶悍，这给防御者提出了一个重要问题。如果 Jadepuffer 不是依靠数据曝光来施压受害者，那它究竟依靠的是什么？
为何仅加密式勒索依然危险
答案简单却令人不安：仅凭加密往往就足够了。对任何没有经过测试、离线备份的组织来说，一夜之间网络上所有文件被加密，无论数据是否被盗，都是让业务停摆的事件。薪资系统无法工作，患者记录无法访问，依赖联网控制软件的产线陷入瘫痪。没有泄露威胁并不会让业务中断变得不那么真实。
这一点值得深思，因为许多关于勒索软件的报道，可以理解地聚焦在数据盗窃的角度：什么被窃、影响谁、是否出现在泄露网站上。Jadepuffer 重新转向纯加密模式，提醒了我们，仅凭运营中断就足以索取赎金。跳过数据外泄的团伙行动更快，在受害者网络中的足迹也更小，因为他们不需要在触发加密之前花时间定位、打包和传输敏感文件。速度和隐蔽性成为他们放弃泄露网站筹码的交换条件。
这个版本的 Jadepuffer 是该组织在工具演进历史中展现的更广泛模式的一部分。早前关于 JadePuffer 首次由 AI 运行的勒索软件攻击 的报道，描述了一次以自动化入侵而非手动操控为显著特征的操作。来自同一攻击者的相关工具 Encforge，也以它自己的方式打破了标准勒索软件的剧本。希望了解该组织工具包完整演进弧线的读者，包括 Encforge 如何利用 Langflow 漏洞 (CVE-2025-3248) 入侵 AI 基础设施，可在更早的报道中找到有用背景。
受害者标识符与勒索信揭示了什么
一个值得关注的细节是勒索信本身的条理性。每个受害者都被分配了一个唯一的标识符，勒索信中还包含一条与解密密钥相关的警告。这种结构并非偶然。唯一 ID 使操作者能够在通信中区分不同受害者，将付款与特定解密密钥挂钩，并同时管理多起事件而不混乱。这正是你预期的那种基础设施，表明该组织将此事作为一项可重复的操作，而非一次性攻击。
对事件响应和威胁情报团队来说，勒索信的格式、标识符结构和付款说明也是有用的线索。它们有助于确认某起事件是否确实与已知攻击者（如 Jadepuffer）有关，而非使用泄露或购买工具套件的模仿者，这对于决定如何响应及预期下一步至关重要。
降低风险：网络分段、VPN 与备份策略
即便工具不断演变，应对仅加密勒索软件的实际策略并没有太大变化。离线、经过测试的备份仍然是使加密事件在不付赎金的情况下得以幸存的唯一最可靠手段。与生产系统处于同一网络的备份通常会连同其他所有文件一起被加密，因此隔离的重要性不亚于备份本身。
网络分段限制了攻击者在获得立足点后的横向移动范围，即使初始入侵成功，也能控制加密事件的波及半径。限制远程访问工具、监控异常的横向移动、并使用安全的远程访问方式（包括配置严格访问控制而非广泛网络信任的 VPN），都能降低单个失陷凭证演变为全组织范围业务中断的可能性。
这对你意味着什么
如果你的组织处理敏感数据，或依赖联网系统进行日常运营，Jadepuffer 的第二波浪潮提醒我们，勒索软件不需要窃取你的数据就能伤害你。仅凭大规模加密本身，对攻击者而言就是一门行之有效的生意。这意味着备份策略和网络分段应该得到与数据丢失防护同等、甚至更多的重视。审视你的组织在不碰赎金情况下，能从离线备份中多快恢复运营，比试图预测任何单一组织的下一步行动，是更有成效的做法。
关键要点
- Jadepuffer 的最新版本完全跳过数据盗窃，仅以加密作为其勒索手段。
- 当备份未与生产网络隔离时，仅加密攻击的破坏性可能与双重勒索一样严重。
- 勒索信中唯一的受害者标识符，指向一场结构化、可重复的操作，而非临时起意的攻击。
- 离线、经过测试的备份和网络分段仍是抵御此类攻击最有效的防御手段。
- 审查远程访问与 VPN 配置，遵循最小权限原则，可以限制入侵者在开始加密之前的扩散范围。
