APT73 勒索病毒解密与数据恢复

APT73 于 2024 年 4 月中旬出现，自称「高级持续性威胁」组织，暗网泄露站在 2024 年 4 月下旬上线，早期使用以 apt73 开头的 .onion 地址，并以 Eraleig / Eraleign 名义配套运营 eraleignews.com；其后改用 Bashe 名义与以 bashe 开头的定制 .onion 域名（Bashe 一名一般被解读为中国神话中的巴蛇，团伙本身未见公开说明）。公开研究普遍将其视为 LockBit 在 2024 年 2 月遭 Operation Cronos 执法打击后、由前附属成员另起的分支，泄露站版式明显模仿 LockBit。

公开研究对该团伙的技术含量评价很低。CloudSEK 逐案核查后指出，它大量「认领」并非自己实施的入侵，把公开渠道得到的旧泄露重新包装后发布——例如把 2019 年的马印航空泄露、来自公开组合库的 Betclic 数据、与 2023 年某论坛帖完全一致的印度联邦银行数据重新当作新事件发布。2026 年 6 月 BushidoToken 核验其宣称的 Hargreaves Lansdown 事件（该条目发布于 2026 年 4 月下旬）后，以高置信度判定为伪造。ransomware.live 的关联统计也显示，在可关联到企业域名的受害条目中，约七成能对应上信息窃取木马日志。

截至 2026 年 9 月，其泄露站累计公布约 160 个组织，覆盖约 50 个国家，最近一批条目在 2026 年 7 月下旬。按 ransomware.live 的统计，受害者以美国、英国最多，巴西、法国、德国次之；行业上专业服务、科技与金融服务条目最多，政府与国防类约占一成。CloudSEK 的画像则是年营收 1000 万至 5 亿美元的中型企业，集中在金融、银行、IT 与制造。与中国相关的公开条目极少，未见针对中国大陆企业的确认案例。公开信息有限：本页只写可核实的部分。

APT73 没有可供比对的加密后缀或勒索信文件名——我们检索到的公开报告中，没有任何一份记录过它的加密器样本。判断「是否被 APT73 点名」因此不看终端现象，而看以下迹象：

• 企业名称、logo、高管照片或组织架构图出现在 bashe 开头的 .onion 泄露站，带倒计时与分段公开的样本包；
• 收到自称 Bashe / APT73 的邮件或留言，要求在期限内到暗网谈判页联系；
• 媒体或情报厂商就该条目来函询问。

随后最关键的动作是真伪核验：索取样本，比对字段结构与记录数、核对时间戳能否对上自有系统的实际数据、检索样本中的邮箱与手机号是否已出现在历史公开泄露集合。相当一部分条目核验后是旧泄露或撞库库的再包装。

公开材料对 APT73 入侵手法的描述停留在概括层面：钓鱼邮件与面向公网应用的已知漏洞利用被多家厂商列为主要入口，但缺少可验证的样本与 IOC 支撑。

更能解释其数据来源的是另一条线索——ransomware.live 对该团伙受害条目做的关联分析显示，在可关联到企业域名的条目中，约七成能对应上信息窃取木马的日志。换言之，相当一部分所谓「入侵」来自暗网采购的凭据与窃密日志，而非自主打穿内网。对企业而言，防守重点因此落在终端窃密木马清理、SSO 与 VPN 凭据轮换、强制多因素认证，以及对外暴露面上的老旧应用收敛。

没有公开可查的加密行为。 截至 2026 年 9 月，我们未检索到任何公开分析记录过 APT73 / Bashe 的加密器二进制、加密算法、加密后缀或勒索信文件名；即使是对该团伙做过专门研究的机构，其报告也完全不涉及加密环节。部分数据恢复厂商页面提到的「AES-256 + RSA」属于通用模板描述，未附样本哈希或逆向证据，不应作为判定依据。

该团伙的施压完全在数据侧：在泄露站公开受害者名称、logo、高管照片与组织架构图，设置倒计时与分段公开，并借媒体转载放大声量，以触发监管通报义务和客户问询。

因此，遇到自称 APT73 的事件，第一优先级不是解密，而是判断数据是否真的外泄、外泄了什么、是不是旧数据。