PEAR 勒索病毒解密与数据恢复

PEAR（Pure Extraction And Ransom，自称 PEAR Team）于 2025 年年中浮现（多数追踪源记为 6 月，也有记为 7 月的），同年 8 月起在暗网泄露站公布受害者，截至 2026 年 9 月被点名的组织已超过 120 家，仍保持每月约 8–13 家的节奏。

它与传统勒索病毒的根本区别是不加密：只窃取数据并以公开泄露相胁，受害方通常没有后缀改写、也没有业务中断，直到收到勒索邮件或在泄露站看到自己的名字。团伙自述为封闭私有小队而非 RaaS，赎金按窃得的财务报表反推，据网络保险方公开的理赔观察均值约 55 万美元；受害者约九成在美国，集中于商业服务、医疗、法律、金融与教育。

该家族公开技术资料仍然有限，尚无一线厂商发布深度分析，本页以泄露站长期观察与多家威胁情报为主。

PEAR 不加密文件，没有可比对的后缀，也没有落地的勒索信，识别只能靠入侵痕迹与勒索通知本身。

勒索通知：来自 onionmail.org 匿名邮箱或 Tox，署名 PEAR Team，附临时文件寄存链接分发的样本数据包；部分案例中对方直接向管理层与员工个人手机发短信或 WhatsApp。

主机痕迹：未经审批的远控软件（AteraAgent、Splashtop 一类）服务与自启动项；PsExec 与批量 PowerShell 执行记录；终端防护或 EDR 被停用、卸载；安全与审计日志被清理。

外传痕迹：WinSCP、RClone 落地（常被改名）；短时间内数百 GB 级外发流量；文件服务器与共享目录出现大范围枚举和打包。

PEAR 的入侵技术含量不高，胜在稳定命中常见弱点：

• 被盗用的 VPN / 远程接入凭据：首要入口，来自第三方泄露库、撞库与口令复用，尤其是未启用多因素认证的 VPN 与对公网开放的 RDP，钓鱼作为补充；
• 驻留：安装 AteraAgent、Splashtop 一类合法远控软件建立长期通道，这类工具常在白名单内，难与正常运维区分；
• 横向与提权：PsExec、PowerShell 与内存凭据转储，沿 SMB 扩散到文件服务器与数据库主机。

关键特征是停留期长：公开案例中从初始入侵到勒索通知常以月计（已披露的一例为年初入侵、半年后才开始大规模外传），收到通知时数据多已外传完毕，应急重点是界定范围而非阻断。

不加密。公开可查的案例中 PEAR 从不部署加密器：文件内容、文件名与后缀均不改动，卷影、备份与虚拟机也未被针对性破坏，业务系统照常运行。

核心动作是大规模数据外传：内网枚举并集中打包后，用 WinSCP、RClone（常被改名）分批外发；公开案例中有 24 小时内经 WinSCP 外传约 732 GB 的记录，单个受害者外传量从数百 GB 到数 TB，最大一例声称达 16 TB。

施压分阶段：先发样本证明，再设付款期限，逾期在泄露站分批公开，对拒付者把完整数据包免费挂出。没有停机，但数据暴露不可逆。