CMD Organization 勒索病毒解密与数据恢复

目前的公开证据指向「窃取 + 删除」，而不是加密，但这仍然是完整的勒索事件，优先级不低于加密型攻击。

已确认的典型案例中，攻击者取走数据后直接删除了文件存储，受害方公开说明提到对方「删除数据以阻碍恢复」，其中一个存储卷甚至在没有访问痕迹的情况下被清空。这意味着两件事：一是没有密文可解，恢复完全取决于备份完整性与底层区块是否被覆盖；二是保密性损失已经发生，数据可能被公开拍卖。

因此处置要点与加密型事件不同：第一时间停止对相关卷的一切写入（这是碎片恢复的前提），同时并行启动外传范围界定与合规通报。需要提醒的是，公开技术资料有限，不排除该团伙在其他事件中使用过加密载荷；若贵司确实出现后缀改写，应重新做家族识别。

我们不支付赎金、不代为谈判。就这个团伙而言，付款的技术性价比尤其低。

与多数提供一对一谈判门户的团伙不同，CMD 的模式偏向把数据出价给最高应价者。这意味着即便达成交易，也无法验证数据是否真的销毁、是否已有副本在第三方手中——「数据已删除」在技术上不可核实。更现实的问题是，被删除的文件不会因为付款而回来，因为这不是加密事件。

真正能降低损失的做法是把主动权拿回来：尽快界定外传的目录清单与时间窗，按内容分类确定通报义务，在对方公开之前完成对监管机构、客户与员工的沟通，并完成全域凭据轮换。同时，无论是否被点名，被删除数据的恢复窗口都在随时间关闭，这条线应立刻启动。

有机会，而且删除场景下的可恢复性通常优于加密场景，但取决于响应速度。

删除只是移除了文件系统的索引条目，原始数据往往仍以未分配区块的形式留在磁盘上，可通过原始扇区扫描与文件结构重组提取。决定成败的是这些区块有没有被覆盖。因此最关键的动作只有一个：立刻停止对相关卷的一切写入，包括日志落盘、杀毒全盘扫描、重装系统、在原盘上安装恢复软件、重建 RAID 或存储池。

实际操作顺序建议：先对相关卷做只读镜像或存储层快照，之后所有分析与恢复都在副本上进行；同时并行核查离线备份、NAS/SAN 快照、虚拟化快照、云端版本历史与回收站保留期——如果备份完好，这仍是恢复比例最高、代价最低的路径。恢复比例需要实测评估后给出区间，没有人能在看数据之前承诺结果。

公开信息有限，目前没有可靠证据把它与任何已知团伙建立关联。

可确认的事实是：2026 年 5 月初被威胁情报平台首次收录；对外自称「专注企业系统安全与漏洞发现的公司」，同时运营一个 Tor 泄露站（标题 CMD // home）和一个被标记为疑似钓鱼的明网门户；截至 2026 年 9 月上旬泄露站累计挂出约 43 家机构。有报道称其采用勒索软件即服务模式，但该说法主要源自团伙自述，缺乏独立技术验证；也没有安全厂商发布过其样本分析，主流恶意代码库均无收录。

这种「自称安全公司 + 纯窃密施压」的包装在近年的新团伙中并不罕见，与 Silent Ransom Group、World Leaks 等在运营模式上有相似之处，但相似不等于同源，在没有技术重叠证据前不应互相套用 IOC。另需注意，泄露站自 2026 年 7 月底起未再挂出新条目（站点本身 9 月上旬仍可访问），公开报道也自 8 月初起没有新增。历史上这既可能是短期休整，也可能是转入沉寂或改名换壳的前奏，尚无法判定。

就目前的公开记录看，中国大陆企业尚未被其点名，受害方集中在美国、加拿大、英国、澳大利亚，也包括印度、日本与挪威的机构。国内厂商（360、奇安信、深信服、微步在线等）也未见发布相关分析。

但有两点值得注意。其一，跨境业务同样落在打击面内：有海外子公司、海外工厂或为境外客户提供服务的中国企业，其境外 IT 环境与该团伙的目标画像高度吻合——中小规模、集中式文件服务器、监控能力有限、备份与生产共用身份。其二，手法本身在扩散：以数据窃取加删除代替加密、以拍卖代替谈判，正在成为多个新团伙的通用玩法，国内企业面临的现实风险是这套打法，而不是这个具体品牌。

因此建议把资源投在通用防线上：文件服务器的批量读取与批量删除告警、出口流量监控、备份采用独立凭据与不可变副本、老旧系统与存储区域按期下线，以及针对「数据被删除且无加密」场景的应急预案演练。