某民营专科医院 PACS 影像与 HIS 服务器被 Rhysida 加密的处置

客户为一家民营专科医院，门诊收入以影像检查为主。PACS 影像存储服务在一台 Windows 服务器上，影像卷通过 iSCSI 挂载在机房内的一台 NAS 上；HIS 应用与数据库在同机房另两台服务器上，每日凌晨的备份任务写入同一台 NAS 的备份共享。

院内唯一的离线动作是值班人员每天把 HIS 数据库 dump 拷到一块移动硬盘后拔下保管；影像因容量过大只在工程师有空时手工拷贝，最近一次在事发前三周。影像设备厂商长期共用一个 VPN 账号做远程运维，该账号未启用多因素认证、口令多年未更换，接入后可直达影像与 HIS 网段；门诊、医技与办公区域之间没有有效分段。

假期第三天夜间，值班技师发现影像工作站调阅不到当日检查，PACS 服务无法启动。影像卷与 HIS 数据目录中的文件均在原文件名后被追加 .rhysida 后缀，各级目录下出现英文勒索信 CriticalBreachDetected.pdf，信中只给出受害者专属 code 与 Tor 门户地址，未留邮箱。NAS 上的备份共享同样被加密，快照任务在事发前已被停用。

联系我们之前，值班人员已重启过 PACS 服务器一次，并把两台影像工作站重装了系统。

第一通电话即下发止损指令：服务器与 NAS 断网保持开机，停用全部 VPN 账号，暂停写入与备份，不重启、不重装、不自行试跑解密器。

• 取证与镜像：对 PACS 系统盘、NAS 影像卷与 HIS 数据盘制作只读镜像，导出 VPN、防火墙与安全日志，保留加密样本与勒索信原件，作业均在副本上进行。
• 家族确认与可恢复性评估：依据后缀与勒索信确认为 Rhysida 的 Windows 加密器（非 ESXi 变种），逆向核对后判定该构建落在已公开的密钥生成缺陷范围内；但该路线依赖对加密时刻的估算，时间线索被重启与重装扰动的那批文件试跑未通过校验，只批量解密通过的部分。
• 恢复实施：可解文件分批解密并校验 DICOM 完整性；其余影像由 CT、MR、DR 设备缓存与离线移动硬盘补齐；影像库与 HIS 在干净服务器上重建，HIS 用离线 dump 还原后对照审计日志核对。
• 同步加固：厂商接入收口到堡垒机并按人授权、强制多因素认证；影像与 HIS 网段同办公网分段，清理驻留与新增账号、重置凭据，备份改为独立主机与不可变副本。
• 交付物：事件报告、恢复与校验清单、外泄范围判定、加固与验收清单。