AuditTeam 勒索病毒解密与数据恢复

AuditTeam 最早可见的受害者条目对应 2026 年 2 月 21 日的攻击，泄露站于 4 月 8 日被威胁情报平台收录；到 2026 年 9 月仍在更新（最近一次约 9 月 10 日），属于上升期的新兴团伙。

规模要看清：跟踪平台列出约 30 条条目，但其中含 5 条匿名的「Paid Victim + 16 位十六进制编号」条目，另有约 6 组同一受害者的掩码 / 非掩码重复记录。据此推算，可辨认的受害单位约 19 家，远少于条目数——引用「受害者数量」时请以此为准。

特点在包装：泄露站自称「DATA EXPOSURE TERMINAL」，受害者按 Audit ID 编号，勒索信通篇「审计日志」「整改窗口期」「审计与咨询费用」等合规话术，把赎金叙述成整改支出，并公开「已付款受害者」条目施压——针对法务与管理层，而非 IT。

受害者分布并不集中：最早几起在东亚与东南亚（韩国、菲律宾各有具名条目；泰国、中国香港与中国大陆仅各有一条匿名「Paid Victim」条目），5 月后俄罗斯明显占多数（约占条目三分之一），其余零星分布在德国、日本、乌克兰、土耳其、阿根廷、哥伦比亚与塞内加尔，行业覆盖科技、制造、零售、金融与政府。最受关注的是塞内加尔国库总局（DGCPT）：该机构 5 月 10 日发生事故、11 日由总局长公开确认「信息系统大部分受扰」并启动业务连续性计划，AuditTeam 于 5 月 18 日将其挂上泄露站，官方始终未点名攻击者——两者的关联属于团伙单方面声称。

公开信息有限：截至 2026-09-11 无厂商或执法机构发布过技术分析，没有公开样本与 IOC，泄露站条目亦未经独立核实。

勒索信：文件名形如 [rand].README.txt，开头一行方括号包裹的「AUDIT LOG: SEVERE INFRASTRUCTURE COMPROMISE VERIFIED」，抬头写给「执行管理层与法务合规团队」，正文给两个选项：经 Tor 门户支付「审计与咨询费用」换取数据清除与一份「漏洞报告」，或坐等数据向客户、合作方与监管机构公开。

Audit ID：信中只留一个 Audit ID 与一个 .onion 地址，没有邮箱、Telegram 或 TOX。公开的勒索信样本里 Audit ID 已被打码，其「16 位十六进制」的形态是据泄露站条目编号推断的。

加密后缀：无公开确认的后缀；网上 .AUDIT 后缀的解密资料指向 2018 年的 Crysis/Dharma 变种，与本家族无关。

外部迹象：泄露站条目附目录树或文件截图作为「证据」；多数单位是先收到曝光通报，才回头发现入侵痕迹。

AuditTeam 没有公开的入侵技术分析，以下为间接线索，请按「假设」而非结论使用：

• 失陷凭据：跟踪平台的统计显示，在「登记了域名的那部分受害者」中，均能在信息窃取木马（infostealer）日志中查到对应凭据。这只是相关性，样本基数小，也不等于凭据就是本次入侵的入口，但与「买初始访问权或直接用被盗账号登录」的低成本模式并不矛盾；
• 接入面：VPN、远程桌面、邮件与文件外发系统是常见入口；
• 外传优先：目标是把文件服务器、OA/ERP、邮件与财务档案打包带走，而非制造业务中断。

因此这类攻击往往没有「文件打不开」的显性信号，最先暴露的是异常大批量外发、陌生地区登录，或供应商侧的凭据泄露。

未见加密器：AuditTeam 没有公开的加密器样本、算法描述或加密后缀，勒索信也完全不提加密与密钥。按现有证据，它更接近纯窃密勒索（data-theft extortion），而非文件加密型勒索病毒。

别用「加密特征」判断轻重：没有被改名的文件、没有卷影删除告警，不代表事件轻微——数据一旦外传，损失已经发生且不可撤销，这与加密事件「恢复即结束」完全不同。

保留另一种可能：新兴团伙常在中后期补上加密器。若同时出现文件被加密，请按多家族叠加事件处理，先固定加密样本做独立判定。