长期活跃的 RaaS 勒索组织，具备成熟的招募、泄露站、谈判和多阶段勒索链路，近期仍在制造业、医疗和教育行业持续出现受害样本。

偏好利用文件传输、边界设备和供应链入口进行规模化数据窃取，勒索重点从加密转向数据泄露威胁。

面向中大型企业的勒索活动持续增长，常伴随 VPN 凭据滥用、远程管理工具和备份删除行为。

高风险勒索团队，常见初始访问来自钓鱼、恶意加载器和被盗账号，具备成熟的后渗透流程。