Global Secret Group 勒索病毒解密与数据恢复

算勒索事件，但不是加密型事件。GSG 可核实的运营模式是窃取数据后在暗网泄露站分批曝光施压，WatchGuard 将其归类为「数据经纪人」；目前没有任何公开来源记录过它的加密器、后缀或勒索信文件名。

文件能打开不代表损失小——数据已经离开组织边界，真正的风险是个人信息与商业秘密暴露、合规通报义务、客户信任受损，以及以泄露数据为诱饵的后续钓鱼与冒名转账。处置重心应放在外传范围界定、法律义务判定与凭据轮换上，而不是寻找解密工具。若同时出现文件被加密，说明现场不止一拨攻击者，必须单独做家族识别。

没有。No More Ransom 目录中不存在该家族条目，执法机构与主流厂商也未发布过工具。更根本的是：没有公开来源分析过 GSG 的加密载荷，甚至无法确认它是否投放加密器——WatchGuard 将其归类为以数据窃取为主的「数据经纪人」。

因此，任何声称能「解密 Global Secret Group 勒索病毒」的服务，要么是对该团伙的误解，要么是在文件其实被另一个家族加密时做出的错误归因。如果贵单位文件确实被改写后缀、无法打开，正确做法是取 3–5 个加密文件与勒索信原件重新识别家族，再评估恢复路径；切勿把来路不明的工具在原盘上试跑，版本不匹配会造成二次破坏。

应当独立核实，不要直接采信。新兴勒索团伙在起步阶段普遍夸大战果、堆砌知名企业名单——GSG 泄露站上线时对韩国游戏公司 Nexon 的入侵声称就未提供任何证据样本，被媒体与研究者质疑；追踪平台记录其条目普遍以「GB/TB + 文件数 + 文件夹数」陈述筹码，这些数字本身就是谈判工具。

正确做法是用自有证据核算：出方向流量记录（会话时长与字节数）、代理与防火墙日志、文件服务器与 NAS 访问审计、云盘与传输工具的执行痕迹；同时把对方提供的文件树与样本同本单位实际目录结构比对。最终形成三段式结论——确认外传的、无法排除的、可排除的，各附依据，作为内部决策与监管问询的说明材料。

按四件事排序：

一、保住证据。立即延长防火墙、代理、VPN、文件服务器审计与身份系统的日志保留期并离线导出——多数环境只保留 7–30 天，一旦滚动覆盖，外传范围就永远说不清了。同时完整保存泄露站条目截图与全部来往邮件原件。

二、判断攻击者是否还在。核查异常账号、邮箱委派与 OAuth 授权、远程管理工具、计划任务与隧道；若仍在网内，先清除再轮换凭据。

三、启动外传范围核算。以日志为准界定时间窗、路径、目录与数据量级，不采信对方说法。

四、统一对外口径。指定单一对接人，法务与合规同步介入判定通报义务。

这四件事之外的动作——重装系统、清理「病毒」、全员内部通报——都应排在后面。

无法验证，因此不能作为决策依据。数据一旦离开组织边界，任何一方都无法证明副本已被销毁——攻击者可以保留、转售，或在数月后以「新发现的旧数据」再次索要。国际执法与安全机构的公开建议一致：支付不能消除泄露风险，只会让组织被标记为可支付目标。

我们的立场明确：不支付赎金、不代为谈判。我们能做的是把不确定性收敛到可管理的范围——用自有日志界定真实外传范围、按数据分类判定通报义务、完成凭据与密钥轮换、对受影响主体分层告知，并持续监测泄露站与仿冒域名。这条路径带来的是可核查的结论与可交代的处置记录；支付带来的只是一个无法核实的口头承诺。