某保险代理公司 OA 与文件服务器被 Crysis/Dharma 加密的处置

客户为一家财富管理与保险代理公司，员工约两百人。OA 系统承载合同审批、用印、客户回访与人事流程，合同扫描件、投保资料与客户档案集中存放在一台 Windows 文件服务器上，另有一台 NAS 作为二级存储，OA 数据库每日凌晨由备份代理推送副本到异地分支机房。

为方便外勤代理人与两处分支办公点访问，运维把 OA 服务器与文件服务器的 3389 端口直接映射到公网，管理员沿用系统内置账号名，口令多年未更换，也未启用账号锁定策略。

事件发生在十二月的一个周五深夜。周六上午值班人员登录时，屏幕自动弹出 info.hta 勒索页面，桌面另有 FILES ENCRYPTED.txt，文件名被改成「原文件名.原扩展名.id-八位十六进制.[攻击者邮箱].bip」的形式，勒索信给出一主一备两个匿名邮箱。OA 应用目录、附件目录、数据库文件与文件服务器共享目录均受影响，经映射盘可达的 NAS 共享目录也被一并加密；本地卷影副本已被删除，备份代理服务在加密前被停止。

客户在联系我们之前已重启过一次服务器，并在原盘上试运行过一款网上下载的解密工具。

首通电话即下发止损指令：断网保持开机、停止写入与计划任务、不要重启、不要在原盘上运行解密工具。

• 取证与镜像：对两台服务器制作只读镜像，采集 4624/4625 登录记录、账号变更与注册表自启动项，保留 info.hta、FILES ENCRYPTED.txt 与加密样本；同步核查出站流量以判定外泄，并排查内网横向触达痕迹。
• 家族确认与可恢复性：文件名的 .id-八位十六进制.[邮箱].后缀格式配合 info.hta 与 FILES ENCRYPTED.txt，确认为 Crysis/Dharma 而非 Phobos 或 Makop；.bip 属 2017 年之后的 .cezar 家族，没有公开解密工具，RakhniDecryptor 仅适用于早期变种，解密路径排除。
• 恢复实施：NAS 管理权限未失守、快照完好，合同扫描件与客户档案由此回滚；缺口从邮件附件与员工本地副本回收；OA 数据库从异地备份回滚，在干净服务器上重装同版本 OA 挂载，附件路径与数据库记录核对后重建索引。
• 同步加固：清除后门账号与自启动项，3389 公网映射取消，远程访问改走 VPN 并强制多因素认证，内置账号改名并启用锁定策略，服务器分段，备份改为异地加不可变副本。
• 交付物：溯源报告与时间线、恢复与校验记录、不可恢复清单、加固验收清单及外泄评估结论。