某游戏研发工作室 ESXi 版本库与构建环境被 Qilin 加密的处置

客户为一家中型游戏研发工作室，团队百余人，同时推进一款未发布手游与一款在运营产品的版本迭代。研发基础设施集中在三台 ESXi 主机上：Perforce 与 GitLab 版本库、自动化构建机、内测服务器、美术资产服务器与测试环境，合计三十余台虚拟机，全部落在同一套 SAN 存储的数据存储上。

外包美术与远程同事通过一条 SSL VPN 接入研发网，部分 VPN 账号未启用多因素认证，其中一个长期闲置的外包账号口令偏弱；虚拟化管理面与办公网直接互通，运维习惯把 vCenter 口令存在浏览器里。

事发在七月的一个周末深夜。周一上午，主程发现版本库无法连接、vCenter 登录失败；从 ESXi 控制台可见虚拟机在同一时段被集体关机，数据存储中的 vmdk、vmx 被追加随机后缀，/vmfs/volumes 下出现 README-RECOVER-[随机串].txt 勒索信，虚拟机快照被全部删除。勒索信按受害者定制，点名未发布项目代号，给出带专属 company ID 的 Tor 协商入口，并威胁公开已窃取的美术与策划文档。

Veeam 备份仓库以 iSCSI 方式挂在同一套存储上，备份文件一并受损，没有离线副本；阵列快照策略只覆盖版本库与美术资产所在的两个卷。

第一通电话即下发止损指令：ESXi 主机保持开机但断网，不要重装主机、不要新建或重新签名数据存储、不要开机虚拟机；同时请存储管理员暂停阵列快照的回收与覆盖策略，避免可用还原点过期。

• 取证与镜像：在存储层对 LUN 做块级只读镜像，采集 hostd.log、vmkernel.log、SSH 登录记录与 authorized_keys、vCenter 事件日志与 VPN、防火墙日志，后续作业均在副本上进行。
• 家族确认与可恢复性评估：Qilin 不使用固定后缀，依据 README-RECOVER-[随机串].txt 与文件后缀随机串的对应关系、文件尾部 RSA 封装块结构确认为 Qilin 的 ESXi 加密器；无公开免费解密工具，解密路径不可行。对代表性 -flat.vmdk 做分段熵值测绘，判定为跳跃式间歇加密：大磁盘保留大量完好数据段，部分虚拟机的分区表与 vmx、vmsd 被完整覆盖。
• 恢复实施：三条路径并行——用阵列上尚存的快照回滚版本库与美术资产所在卷；对快照未覆盖的虚拟机重建 vmdk 描述符与 vmx 后挂载，从完好区段导出 Perforce depot 与 GitLab 数据；再用开发与美术同事的本地工作副本、构建机产物归档补齐快照点之后的提交。作业均在隔离环境完成，逐台校验文件系统、仓库与资产校验值。
• 溯源、泄露影响评估与加固：还原入侵链，确认外传窗口与体量，比对目录清单界定美术资产、策划文档与内测账号数据的涉及范围；同步加固：VPN 全量多因素认证并清理僵尸账号、外包接入改走按工单授权的受控通道、管理面独立网段并开启锁定模式、关闭常开 SSH、禁止浏览器保存运维凭据、备份仓库与生产存储分离并启用不可变备份。
• 交付物：可恢复性评估报告、恢复清单与数据缺口说明、泄露影响评估与通报建议、溯源加固报告与后续复核建议。全程未支付赎金，也未与攻击者接触或代为谈判。