某制造企业 ESXi 虚拟化平台被 Akira 加密的处置

客户为一家制造集团，两台 ESXi 主机承载约二十余台虚拟机，覆盖 MES、OA、文件服务器、域控与一台备份服务器，共享同一套 SAN 存储。备份软件运行在其中一台虚拟机上，备份仓库挂载在同一存储的另一个 LUN。

集团在上一年为方便远程办公开通了 SSL VPN，账号沿用旧的口令策略且未启用多因素认证，边界设备的固件版本长期未更新。

事件在春节假期第二天被发现：车间值班人员报告 MES 客户端无法连接，IT 远程登录后发现 vCenter 无法访问，ESXi 控制台上多数虚拟机处于关机状态，数据存储中的 VMDK、VMX 文件被追加了统一后缀，并在数据存储根目录留下勒索信文本。备份服务器所在虚拟机同样被关停并加密，备份仓库 LUN 中的备份文件大部分被改写。

由于处于假期，事件从实际发生到被发现相隔超过一天，攻击窗口较长。

虚拟化平台被加密的场景，最怕在存储层继续写入，因此第一时间要求停止一切恢复尝试。

• 止损：断开两台 ESXi 主机的对外与跨网段连接，禁止在原数据存储上新建、迁移或克隆虚拟机，暂停存储层的快照清理与回收任务。
• 取证：导出 ESXi 主机日志、vCenter 事件、VPN 与防火墙日志，对 SAN 上的数据存储做只读快照与镜像。
• 家族判定：加密后缀、勒索信文件名与文本格式指向 Akira 的 Linux/ESXi 变种；该家族对虚拟磁盘常采用间歇加密以提高速度，这一点在后续实测中得到验证。
• 恢复路径选择：存储阵列层面保留了若干未被攻击者删除的卷快照，成为最主要的恢复来源；对快照未覆盖的虚拟机，从被加密的 VMDK 中提取未被改写的数据区段，重建文件系统后导出业务数据。
• 重建顺序：先在隔离网段重建域控与 MES 相关虚拟机，完成凭据全量轮换与后门复查后，再逐步放行至生产网络；OA 与文件服务器随后恢复。
• 并行整改：VPN 启用多因素认证、边界设备升级、清理长期未使用账号。