FulcrumSec 勒索病毒解密与数据恢复

FulcrumSec 最早于 2025 年 9 月被安全社区注意到，部分报告使用「The Threat Thespians」别名。截至 2026 年 9 月 11 日的追踪站快照，其泄露站累计公开 27 家受害组织，分布在十余个国家，以美国企业居多（需注意：各追踪站与厂商报告因统计口径与快照时间不同，公开数字在 21–27 家之间浮动）；2026 年上半年节奏明显加快，属于仍在上升期的新兴势力。

与传统勒索家族最大的不同是：FulcrumSec 完全不加密。多家机构的独立分析都确认，已知事件中没有出现加密载荷，业务照常运行、文件照常打开。团伙自称模式为「steal and squeeze」——搬走数据，再靠公开曝光与分批泄露逼迫付款。

三起标志性事件：

• LexisNexis（2026 年 5 月被列名）：多份厂商报告将其列为已知受害者，但公开资料未说明具体初始访问途径，不宜与某一漏洞直接挂钩；
• Novo Nordisk（2026 年 6 月）：攻击者自述自 3 月潜伏，6 月 1 日索要 2500 万美元，遭拒后自 6 月 15 日起分批公开所称的 1.3TB 数据，涉及临床试验数据、源码仓库与 AI 模型资产；
• Manchester Airports Group（2026 年 8–9 月）：据称经机场网站前端 JavaScript 中暴露的 Iterable 营销平台 API 凭据入场，取走约 86GB 压缩数据（对方称解压后约 640GB），涉及约 870 万名客户——不过据公开报道，其中绝大多数记录只含邮箱地址。

Arup Group、Global Schools Foundation、Avnet、youX、Dustin Group 亦先后被列名。截至本页更新，公开追踪站的受害者名单中未出现中国大陆机构，但它挑的是暴露面而非地域：出海 SaaS、跨境电商与有海外子公司的制造、医药企业，只要把生产密钥写进前端或把存储桶开放，就落在同一张网里。

最反直觉的一点：FulcrumSec 事件没有加密后缀、没有勒索信文件、没有壁纸改写、没有服务中断。文件全部能正常打开，监控大屏一片绿色——这恰恰最危险，多数受害者是在数据已被搬走数周乃至数月后，才从外部得知被入侵。

最常见的「首次得知」渠道：攻击者直接发邮件给高管或法务并附上文件树与样本；安全媒体或研究者转来一份排版精良的入侵复盘报告；公司名字直接出现在其泄露站上。

云侧可观测迹象（需主动排查，不会自己告警）：

• 长期未轮换的 API key、GitHub PAT、JWT 签名密钥在异常地理位置或非工作时段被调用；
• 容器身份或过度授权的 IAM 角色出现批量 Secrets Manager / Key Vault 枚举；
• MongoDB Atlas、Redshift、Databricks 等云数据库出现持续、低速的大批量读取；
• 代码仓库批量 clone，Salesforce、Qualtrics、Hugging Face 等 SaaS 与模型平台出现异常导出；
• rclone 等合法工具产生的大流量出网，走云厂商正常通道，不触发特征检测。

一次值得立刻做的前端自查：用开发者工具检查官网与移动端 H5 根域的 JavaScript 包，确认是否嵌有第三方营销、客服或数据分析平台的管理密钥——Manchester Airports Group 的入口就在这里，而且不在什么冷僻子域上。

判定要点：FulcrumSec 的识别本质是外传取证而非样本分析，没有样本可取，只有日志可比对。

FulcrumSec 的入侵路径几乎不依赖恶意软件，全部围绕「受害者自己泄露出来的凭据」和「本该关掉的门」展开：

• 硬编码与暴露的凭据：前端 JavaScript 中的第三方 SaaS 管理密钥、公开仓库里的 GitHub 个人访问令牌、Azure 容器注册表凭据，以及长期从未轮换的 JWT 签名密钥——这类入口不需要任何漏洞利用；
• 公网应用漏洞：CVE-2025-55182（React2Shell）是 2025 年 12 月 3 日披露的 React Server Components 反序列化漏洞，CVSS 10.0，可未授权远程执行代码，已被 CISA 列入已知被利用漏洞目录；多份厂商报告把它列为该团伙的利用手法之一，但未公开指明具体是哪一起事件由它入场；
• 配置错误的云存储与数据服务：可公开访问的 S3 桶与 Azure 存储账户、未鉴权的 MongoDB Atlas 集群、暴露的 Databricks notebook、开放目录；
• 窃密木马日志与初始访问经纪人：采购有效凭据与会话 cookie，后者可绕过多因素认证。

横向移动走的是权限而非网络：查询实例元数据服务取临时凭据，用过度授权的角色批量枚举密钥，令牌在开发、测试、生产环境间复用。

停留期很长：数周至数月。Novo Nordisk 事件中攻击者自述 3 月进入、6 月才开口，中间是安静的方法论式归集。这与加密型家族「几天内引爆」的节奏完全不同，也意味着日志保留期往往覆盖不了整个入侵窗口。

这一节对 FulcrumSec 需要反过来读：它不加密。

公开分析中没有出现过 FulcrumSec 的加密器。不改后缀、不删卷影、不停数据库服务、不加密虚拟磁盘、不打 ESXi。传统勒索病毒分析里的算法、间歇加密步长、卷影删除命令，在这里统统不适用。

取而代之的是外传：数据经 rclone 等合法工具、走云厂商正常出网通道传出，分块压缩、低速持续，规避流量阈值告警；因用的是合法二进制与合法 API，特征检测基本无效。单起事件的数据量在公开案例中从数十 GB 到超过 1TB 不等，但这些数字全部出自攻击者单方面声称，必须以自有日志复核。

施压手段完全替代了加密：分批公开样本与完整文件树；向安全媒体与研究者投送排版精良、部分由 AI 生成的复盘报告；按「安全失误类型」开设羞辱栏目；并自称可把数据独家出售给单一买家——把「拒付」的代价从曝光升级为转售。

对企业的含义：业务不中断不等于损失小。主要损失来自个人信息泄露的合规责任、客户与监管压力、源码与 AI 模型等知识产权外流，以及泄露数据被二次用于精准钓鱼。用「系统是否停机」衡量这类事件，会严重低估风险。