Wallstreet 勒索病毒解密与数据恢复

Wallstreet 于 2026 年年中出现在暗网。ransomware.live、RansomLook、WatchGuard、Darkfield 等公开追踪平台自 6 月下旬起收录其 Tor 泄露站，最早一条受害者公告记录于 6 月 26 日。WatchGuard 把首次观察时间前推到 2026 年 4 月，这与泄露站记录并不矛盾：站上最早那条公告对应的攻击时间被记为 3 月底，即作案在前、挂站在后。本页按泄露站可交叉验证的 6 月记为首次公开出现。

到 2026 年 9 月 10 日，站上累计公开受害单位 15 家：美国 13 家，厄瓜多尔与印度各 1 家；医疗、制造各 3 家居首，教育 2 家，其余分散在能源、零售、科技与地方政府/执法部门，另有 3 家未归类。9 月上旬节奏明显加快——近 30 天 8 条公告，其中最近一周 3 条。

体量虽小，目标选择却值得注意：县级医院、地方市政与执法机构、区域性零售企业这类安全投入有限、数据敏感度却很高的单位占了相当比重，WatchGuard 记录到的最低索要金额仅 1 万美元，与这类单位的承受能力相匹配。目前没有公开报告显示其攻击过中国大陆机构。

需特别说明：截至 2026-09-11，该家族没有任何厂商级逆向分析公开，本页技术部分均标注来源，未经核实的细节一律不写。

目前可确认的识别依据只有勒索基础设施这一层：

• 泄露站：Tor 站点 4dwiv37h... .onion，另有一个独立的 .onion 文件服务器用于投放「样本包」。
• 联系方式：公告中直接给出 Tox ID，未见固定邮箱域名，也没有受害者专属谈判门户。
• 公告文案：统一模板，要求「公司代表通过所提供渠道联系」，否则公开完整数据，一般给 4–5 天窗口；部分条目除公司名与官网外不给任何细节，既不说明是否加密，也不给数据量级。

加密后缀与勒索信文件名：公开渠道无记录，因此无法像 LockBit、Phobos 那样凭后缀反查家族。若环境中出现加密且怀疑与之有关，判定必须落在实际样本上：加密文件的头尾标记、密钥封装结构、勒索信原文与投放路径，以及终端与域控日志中的执行痕迹。

以下路径来自威胁情报聚合平台（Femtosec 等）的画像，尚无第一手事件报告或厂商逆向分析佐证，请作为参考方向而非结论：

• 初始访问：向初始访问经纪人（IAB）购买管理员凭据；针对性钓鱼投递第一阶段加载器；利用边界设备未修补漏洞。
• 内网活动：AD 域结构测绘、从 LSASS 内存转储凭据、经 RDP 横向移动。
• 数据外传：集中打包压缩后经加密 Web 通道外传，随后勒索并挂站。

这条链路没有任何新技术，防守动作因此是确定的：边界账号（VPN、远程桌面网关、邮箱）强制多因素认证，边界设备补丁走应急通道，收敛域管理员凭据的横向可达范围，并对大批量外发流量建立基线告警——对以窃密为主要杠杆的团伙，外传是最后一个可拦截的环节。

这是公开信息最薄弱的一环，我们不做推测，只陈述现状：

• 是否加密文件：各平台口径不一致。ransomware.live 与 RansomLook 按勒索家族收录，但不给任何技术细节；WatchGuard 归类为「数据经纪」型，勒索方式标注为直接勒索、双重勒索与旧数据再勒索（re-leak）；Femtosec 称其采用「传统加密 + 数据外传」的双重勒索模式，却同样给不出后缀、勒索信与样本哈希。也就是说，没有任何一方基于样本证实过加密行为，至少在部分事件中，加密可能并未发生或不是主要施压手段。
• 算法、是否间歇加密、是否删除卷影副本、是否具备 Linux/ESXi 加密器：均无公开资料。
• 平台：情报画像中的 LSASS、AD、RDP 等手法指向 Windows 域环境，但这只是推断；由于没有任何加密器样本公开，本页的平台字段留空，也没有公开证据表明存在针对 Linux、ESXi 或 NAS 的加密器。

这一栏只能靠现场填补：加密文件的头尾结构、加密比例与密钥封装方式，直接决定后续是走结构级修复，还是只剩备份与碎片恢复。