n0n 勒索病毒解密与数据恢复

SOCRadar 把 n0n 描述为 2026 年 9 月出现的、以经济利益为目的的窃密勒索团伙，判断其很可能来自俄罗斯。在 10 月这一波之前，它已挂出 21 家受害者，分布在 17 个国家的投资、电信、零售、教育与制药行业。

10 月 12 日的港航批次：n0n 一次性挂出 38 家机构，覆盖集装箱码头与港口运营方、港口 IT / EDI / 码头系统供应商、船公司与船舶运营方、货代与物流，以及相邻的港机与钢铁企业，涉及 18 个国家和地区。韩国最多，有 12 家；名单里也有中国大陆、香港与台湾的港航相关机构。这批受害者统一设定在 10 月 19 日 13:27（UTC）曝光，与此前分批设定期限的做法不同。SOCRadar 审阅的赎金要求在 240 万到 1400 万美元之间。

量级：据 HackerFeeds 的统计，截至 10 月 21 日，n0n 当月在泄露站挂出 125 家受害者，占当月全部挂出数的 17.4%，排第一。

可信度提示：截至 SOCRadar 发稿时，名单上没有任何一家港航机构公开确认被入侵；此前它对几家知名企业的声称也未获当事方确认。泄露站上的数字是团伙自己的说法，不等于已证实的入侵。

n0n 不加密文件，没有后缀，也没有勒索信文件，识别全靠勒索侧：

• 单位名出现在 n0n 的暗网泄露站上。早期会以「Company #编号」的匿名形式挂出，1–3 天后转为实名并开始倒计时；
• 页面上附有被盗数据的规模与样本，港航批次多是 EDI 报文、舱单、闸口记录、码头配置与发票一类的业务文件，数据量从几十 MB 到几 GB 不等；
• 要求用比特币付款，每家一个独立地址，并提供「先付 10% 入场费开私人谈判房间」的选项。

如果对方是通过邮件或即时通讯直接找上门，同样要把这些特征和泄露站页面核对一遍，并警惕冒用 n0n 名义的诈骗。

SOCRadar 的团伙画像：用窃密木马收集到的凭据登录，再用管理工具操作数据，窃取过 Active Directory 映射与法律文件。

港航批次的推测入口：这批数据体量小、局限在单一应用范围内，而且 SOCRadar 用窃密日志比对时，很多港航受害者都查不到凭据匹配。它据此推测，更可能是这些机构共同使用或用来交换数据的某个平台被攻破了，例如码头操作系统、EDI 集成或文件传输产品，而不是 38 次各自独立的入侵。这是推断，尚未证实；SOCRadar 也说明没有证据把 n0n 与 2023 年的 MOVEit 或 2024 年的 Cleo 事件联系起来。

对港航与物流企业来说，这意味着排查范围不能只看自己的网络，还要问清楚共用平台的供应商有没有在调查。

没有公开报告观察到 n0n 加密文件。SOCRadar 的 ATT&CK 映射里虽然列了加密与阻止恢复类技术，但正文明确说它避开传统勒索软件部署，结论是「按窃密勒索处理，同时它具备造成破坏的访问权限」。

因此事件处置的重心是界定外泄范围、履行通报义务与清除访问权限；但如果攻击者手里的权限还在，就不能排除后续破坏，必须把访问收回来。