某融资租赁公司核心账务 Oracle 被 Lynx 加密并威胁泄露合同的处置

客户为一家中型融资租赁公司，核心账务、合同台账与监管报送系统共用一套运行在 Linux 上的 Oracle 数据库，数据库处于 ARCHIVELOG 模式，归档日志写入本机快速恢复区，RMAN 全备每晚推送到一台使用独立凭据的备份一体机。

为支撑跨境租赁业务，境外子公司与若干外包开发人员通过同一条 VPN 接入总部域，其中一批长期未清理的外包账号没有启用多因素认证。

周五深夜，值班运维发现 Oracle 实例无法 open，alert 日志出现 ORA-01110 数据文件错误。检查确认 .dbf 数据文件、控制文件与快速恢复区下的归档日志均被追加 .LYNX 后缀，目录中出现 README.txt；同时多台网点打印机自动打印出英文勒索信，办公终端壁纸被替换为勒索提示。

勒索信不提供邮箱，只给出多个 Tor 镜像地址与受害者专属登录凭据。次日攻击者在谈判门户中声称已窃取客户合同与承租人资料，威胁在其泄露站分批公开。当月监管报送截止日在 9 个自然日之后，客户在联系我们前未做过拉库尝试。

第一通电话即下发止损指令：数据库主机断网保持开机，不要 startup、不要 recover、不要 resetlogs，暂停备份与同步作业；备份一体机断网不断电，禁止用域凭据访问。

• 取证与镜像：对数据库主机磁盘与一体机卷做只读镜像，采集 alert 与 trace 日志、listener 日志、VPN 与域认证日志、crontab 与 authorized_keys，后续作业均在副本上进行。
• 家族确认与可恢复性：依据 .LYNX 后缀、README.txt 的 Base64 正文结构与加密文件尾部指纹确认为 Lynx，并与同源的 INC Ransom 区分；确认无公开解密工具后实测加密覆盖比例，落在约 15% 一档，大文件中仍有大段区块未被改写。
• 恢复实施：用一体机独立凭据取回前一日全备，在隔离恢复主机上 restore；再按 Oracle 块结构从被部分加密的归档日志中抽取可用重做记录，逐序列前滚至加密开始前约 40 分钟，报送库同法重建。
• 同步加固：清理 VPN 僵尸与外包账号并强制多因素认证，收敛 listener 地址，清除 AnyDesk 一类非授权远控与持久化项，重置数据库与域账号口令，备份增加不可变副本与离线介质。
• 交付物：攻击链复盘、加密覆盖实测报告、恢复范围与缺口清单、外泄影响评估与整改验收清单。