某区块链技术公司 ESXi 集群与区块浏览器索引库被 INC Ransom 加密的处置

客户为一家区块链技术公司，为公链与联盟链提供节点托管、区块浏览器与数据接口服务。生产环境跑在自建机房的一套 ESXi 集群上：3 台宿主、共 46 台虚拟机，包含多条链的全节点与验证器代理、区块浏览器的 PostgreSQL 索引库与检索服务、对外 API 网关，以及一整套开发与测试环境。

验证器签名密钥保存在独立机柜的签名机与硬件安全模块内，不在虚拟化集群中；热钱包签名机单独组网，但其运维跳板机与集群共用同一批管理账号。

集群管理入口经由一台 SSL VPN 设备发布，设备版本落后厂商公告多个版本；vCenter 与 Windows 域共用运维账号。备份由集群内的一台虚拟机执行，写入挂在同一存储上的 NFS 卷，另有一份每日同步到异地对象存储的不可变副本，其凭据与生产域完全独立。

周日凌晨，告警显示全部节点掉线、区块浏览器返回 502。运维登录后发现虚拟机被批量关机，数据存储中的 vmdk、vmx 文件被追加 .INC 后缀，目录内出现 INC-README.txt 与 INC-README.html，办公区打印机同时批量打出英文勒索信；集群快照与同存储上的 NFS 备份卷一并被清除。

接警后第一通电话即下发止损指令：先暂停自动出金与签名流程、提高复核门槛；ESXi 宿主保持开机、断开管理网与存储链路，不重装、不重新初始化数据存储，保全 SSL VPN 日志并吊销全部活动会话与令牌。

• 取证镜像：对数据存储 LUN 做块级镜像与阵列快照，保留 ESXi 与 vCenter 日志、SSH 登录记录。
• 家族确认与可恢复性：依据 .INC 后缀、成对的 INC-README 勒索信与文件尾部签名块，确认为 INC Ransom 的 Linux/ESXi 版本而非 Lynx 等同源变种，无公开解密工具；实测大体积 -flat.vmdk 为部分加密、留有大段完好数据区，vmx 等小文件被完整覆盖。
• 恢复实施：异地不可变备份幸存，索引库恢复到事发前近期时点，缺口由重新索引补齐；节点与验证器代理不依赖备份，在干净环境重建后从链重新同步；其余虚拟机重建描述符后挂载平面磁盘抽取数据，恢复件先在隔离网段验证干净再切回生产。
• 密钥与加固：审计签名密钥保管路径与访问记录，轮换运维凭据与 API Key；ESXi 管理面收敛至独立 VLAN 并启用锁定模式，VPN 设备升级并与域凭据解耦，备份改独立凭据加离线副本。
• 交付物：事件报告、攻击链时间线、外泄范围结论与虚拟机恢复清单。