World Leaks 勒索病毒解密与数据恢复

World Leaks 由 Hunters International 的管理层于 2025 年 1 月 1 日对外启用。此前 2024 年 11 月 17 日，该团伙曾以执法压力增大、利润下降为由宣布关停，数周后改口，以「只窃密、不加密」的新品牌重启；2025 年 4 月这一转型被 Group-IB 与多家媒体公开证实，同年 7 月 3 日 Hunters International 品牌正式停运并宣布向受害企业发放免费解密器。Hunters International 自 2023 年下半年活跃，Group-IB 以中等置信度认为它可能是已被打掉的 Hive 的换牌重组，依据是代码高度重合——这是一项评估，而非确证。

World Leaks 沿用附属（affiliate）模式：核心团队提供泄露站、谈判门户和一款自研的自动化外传工具，附属负责入侵与取数。公开跟踪平台累计记录 170 余家受害单位（不同平台口径在 174 至 178 之间），其中多数集中在 2026 年。地域上约半数在美国（一家跟踪平台记录的 174 家中有 92 家，约 53%），其余分布在英国、巴西、德国、加拿大等近 30 个国家；行业集中在制造业、医疗、专业服务与信息技术。较受关注的事件包括 2025 年 7 月 Dell 的客户演示平台（对方声称 1.3TB，Dell 回应称主要是合成与公开测试数据）、2026 年 1 月 Nike（声称约 19 万份文件、1.4TB，条目后被从泄露站撤下，Nike 未确认其真实性）与 2026 年 6 月 Tata Electronics（对方公布的目录涉 Apple 相关制造资料，企业确认发生安全事件但称业务未受影响）。

截至 2026 年 9 月 11 日，该组织自 2026 年 7 月 21 日后未再发布新受害者，泄露站在公开监测中 30 天可用率为零，故本页将生命周期标注为沉寂——这是我们依据跟踪数据作出的判断，尚未见厂商或执法机构确认其停运。公开信息有限：不投放加密器，工具链细节也未被完整披露。纯窃密团伙的沉寂通常意味着基础设施重建或再次更名，不等于威胁解除。目前没有公开报告显示其对中国大陆机构发起定向攻击，中资企业的暴露面主要在海外子公司、跨境分支与供应链上游。

最大的识别特征是「没有特征」：文件后缀不变、文档照常打开、目录里没有勒索信、桌面壁纸不变，业务系统运行如常。绝大多数受害者不是自己发现的，而是被泄露站点名、被第三方通报，或收到攻击者直接发来的邮件后才知情。

泄露站一侧：以 worldleaks 开头的 .onion 站点会公布公司名、声称的数据体量、倒计时与样本数据包，并提供受害者专属的谈判门户入口。

主机与网络一侧（更可靠的早期线索，其中边界设备一项来自一条与该泄露站发布时间重合的公开调查，并非该品牌的专属特征）：

• 边界设备异常，尤其是已停止支持（EOL）的 SonicWall SMA 100 系列——/etc/ld.so.preload 非空且被置为不可修改、出现 libsamba-errors.so.6 之类伪装成系统库的文件，是 Mandiant 记录的 OVERSTEP 用户态 rootkit 的典型痕迹；
• 管理员或服务账号在非工作时段从陌生地址登录 VPN；
• 文件服务器、ERP、数据库出现大批量顺序读取与打包压缩；
• 向陌生 VPS、云存储或匿名网盘的大流量出站。

判定要点：出现加密后缀与勒索信的，基本可以排除 World Leaks，应重新做家族鉴定。

World Leaks 是附属制，入口手法随附属而变。下面这条链路被记录得最详细，但需要先说清它与该品牌的关联强度：

• 停止支持的边界设备：Google 威胁情报（Mandiant）跟踪的 UNC6148 针对 EOL 的 SonicWall SMA 100 系列，导出 temp.db 与 persist.db，从中拿到管理员凭据与 OTP 种子；随后投放 OVERSTEP 用户态 rootkit，通过改写 /etc/rc.d/rc.fwboot 与启动镜像实现重启存活，并劫持 open/readdir/write 隐藏自身、用 sed 清理日志。Mandiant 未能确定具体入口漏洞，列出的候选包括 CVE-2024-38475 路径穿越与 CVE-2021-20038/20035/20039、CVE-2025-32819，同时以中等置信度认为可能还用到了尚未公开的远程代码执行漏洞。该活动自 2024 年 10 月延续到 2025 年年中。关联性提示：一家在 2025 年 5 月被 UNC6148 攻击的机构于 2025 年 6 月出现在 World Leaks 泄露站，但 Mandiant 明确表示无法排除这只是时间上的巧合，因此不能把该附属当作 World Leaks 的唯一或主要入口。
• 带 OTP 的合法凭据：OTP 种子被窃意味着一次性口令也可能被绕过，仅重置密码不足以关门。
• 横向移动与数据定位：以合法凭据进入内网后摸清文件服务器、ERP 与数据库，批量打包。
• 自动化外传：核心团队向附属提供自研外传工具，宣称完全免杀，支持（但不强制）走代理连接，定位与前身 Hunters International 的 Storage Software 相同。

值得强调的是：整条链路没有加密器，也没有「投毒日」，因此没有任何一刻会让业务方察觉异常。

该家族不加密。World Leaks 不投放加密器，不改后缀、不删卷影、不停数据库服务，也不攻击 ESXi 数据存储。损害发生在保密性一侧，而不是可用性一侧。

这带来两个后果，对处置判断都很关键：

• 检测更难。传统勒索的「文件全打不开」是一次强制告警，纯窃密没有这个信号，平均发现时间因此显著变长，很多企业是在泄露站点名当天才知情。
• 「恢复数据」不解决问题。数据仍在本地、完好可用，备份也没被破坏；但副本已经在对方手里。这类事件的正确目标不是恢复，而是确定外泄了什么、切断仍然有效的访问、履行通报义务。

关于外传工具，公开可核实的信息有限：由核心团队从零开发、向附属宣传为完全免杀、支持代理连接、目的是自动化批量外传。没有公开的逆向报告披露其协议细节或落地文件特征，因此不要指望靠单一 IOC 判定，应以流量与文件访问审计为主。

前身 Hunters International 仍属加密型家族，若案件带加密后缀，请按前身处置。