某电商代运营公司 ERP 数据库与共享 NAS 被 BrzCrypt 加密的处置

客户为一家电商代运营公司，替多个品牌方代管线上店铺，日常用管家婆进销存与金蝶 ERP 两套账套跑订单、库存与结算，后端共用一台 Windows Server 上的 SQL Server 实例。商品图片、平台对账单、合同与每晚导出的数据库备份都放在一台共享 NAS 上，NAS 以固定盘符映射到这台服务器和运营终端，登录凭据长期保存在系统中。

为方便夜间值班与外包运营人员远程处理订单，服务器的 3389 端口直接映射到公网，管理员口令多年未换，并与另外两台业务主机复用同一套本地口令；终端防护装过，但在一次系统卡顿后被停用且没人恢复。

8 月的一个工作日清晨，运营反馈管家婆客户端提示账套登录失败。检查发现数据目录下的 mdf、ldf 以及映射盘上的备份、图片与对账表格都被追加了带随机 ID 与陌生邮箱的新后缀，多个目录出现 information.html，桌面壁纸被替换为勒索提示。此前 IT 已经重启过一次服务器，并在原盘上用网上下载的所谓解密工具试跑了一个文件。

首通电话即下发止损：服务器与 NAS 断网保持开机、停止写入，不重启、不在原盘试跑工具。

• 取证与镜像：对系统盘与数据盘做只读镜像，锁定 NAS 快照防覆盖；采集安全、终端服务与 SQL Server 日志，作业均在副本上进行。
• 家族确认与可恢复性：后缀 .flex、文件名内的随机 ID 与 cock.li 邮箱、information.html 勒索信与密文尾部 DATACORE 吻合，确认为 BrzCrypt；无公开免费解密器（可解密的是前代 Wmansvcs），解密路径排除。分块策略未公开，实测样本：加密集中在文件头与固定区间，中后段数据页完好。
• 恢复实施：映射盘的前夜备份已被加密，NAS 快照由独立账号管理、未被触及，据此把全备与共享目录还原到干净实例；当日 mdf 页级抽取，补齐停机前的订单、出入库与收付款。
• 同步加固：取消 3389 公网映射，运维收拢到 VPN 并启用多因素认证；停用复用的管理员口令，轮换域、数据库、NAS 与浏览器凭据；恢复终端防护。
• 交付物：事件报告与入侵链时间线、IOC 清单、按账套恢复范围与差异、整改结论。