某政企单位 OA 与文件服务器被 LockBit 加密且备份被删

客户为一家政企单位，内网运行 OA、公文流转、门户与多台文件服务器，统一加入同一个 Windows 域。备份由一台备份服务器统一调度，备份数据写入网络存储，备份服务与存储管理均使用域管理员账号，属于典型的「备份与生产同域、同凭据」结构。

入侵在被发现前已持续了一段时间。攻击者通过一台对外提供服务的主机进入内网，利用凭据窃取工具在多台服务器间横向移动，最终取得域管理员权限。与许多定向勒索事件一样，加密并不是第一步：攻击者先清理了备份任务与备份存储中的历史数据，删除了卷影副本，随后才在夜间统一投放加密程序。

次日上班时，OA 登录页面无法打开，多台文件服务器共享目录中的文档被统一加密并留有勒索信，桌面壁纸被替换。IT 尝试从备份恢复时才发现备份仓库已被清空，最近的可用还原点不存在。单位需要在处置的同时向主管部门报告，并准备报案材料。

备份被删的场景没有捷径，只能把所有可能的数据来源逐一清点，再按可行性排序。

• 止损与范围判定：断开受影响服务器与外网、隔离域控，禁用可疑账号并全量轮换域内高权限凭据，防止在恢复过程中被二次加密。
• 取证优先：因需要报案与向主管部门报告，取证在清理之前完成——采集域控安全日志、备份服务器操作日志、边界设备与 VPN 日志，对关键主机做磁盘与内存镜像并计算哈希登记。
• 数据来源清点：逐项核查网络存储的存储层快照（部分保留，未被备份软件层面的删除操作波及）、一份数年前采购时随设备附带、近期仍在轮换使用的离线磁带介质、个人终端上的本地缓存与离线文档副本、以及 OA 系统的数据库日志文件。
• 分层恢复：以存储快照为主恢复文件服务器的多数共享目录；OA 数据库以未被完全加密的数据文件配合日志回放重建；离线介质补齐部分历史归档；对仍缺失的文档，从终端缓存与邮件附件中做二次收集。
• 报案配合：出具溯源取证报告，含时间线、入侵入口判定、失陷资产清单与失陷指标，随单位报案材料一并提交。