某连锁零售企业门店 POS 后台与会员库被 GlobeImposter 加密的处置

客户为一家区域连锁零售企业，在数个城市经营数十家门店。门店 POS 收银、会员积分与总部进销存共用一套部署在总部机房的 SQL Server 实例，交易明细库、会员库与商品资料库放在同一台 Windows 服务器上。

为便于外包运维商远程处理门店问题，这台服务器与相邻的报表服务器长期把 3389 端口映射到公网，管理员口令在总部服务器、门店服务器与部分 POS 终端之间通用；备份由计划任务写到同机房的一台文件服务器，使用同一组域凭证。

周末夜间，门店陆续反馈收银机无法联网结算、会员手机号查不到积分。总部检查发现 SQL Server 服务已被停止，数据目录下的 .mdf、.ldf 与备份目录的 .bak 均被追加 .Ares666 后缀，每个目录下落有 how_to_back_files.html，用浏览器打开是一张勒索页面，给出主备两个匿名邮箱并要求附上机器 ID。卷影副本已被清空，文件服务器上的备份同样被加密。

联系我们之前，客户已尝试重启过一次数据库服务，并在部分门店服务器上运行了杀毒全盘扫描。

首次通话即下发止损指令：服务器断网保持开机、停止数据库与备份的一切写入，门店转离线收银，不重装、不对可疑库执行修复命令。

• 取证镜像：对数据库、报表与备份三台服务器做只读镜像，采集 4625/4624 安全日志、SQL Server 错误日志与防火墙映射规则，全程只操作副本。
• 家族确认与可恢复性：由 .Ares666 后缀与 how_to_back_files.html 勒索信确认为 GlobeImposter 十二主神（666）系列：以 RSA-2048 保护密钥，无公开解密工具，Emsisoft 早期解密器只覆盖 .crypt 变种。熵值分析实测该变种对大体积 .mdf 只改写文件头与若干区间，中后段保留大量完整数据页。
• 恢复实施：做页级扫描，重建系统表与分配结构后逐表抽取交易明细、会员资料与商品价表并导入新实例；同时取回门店 POS 本地交易缓存与小票流水，按营业日补齐销售记录并与支付渠道对账。
• 同步加固：撤销全部 3389 公网映射，远程运维改走 VPN 加多因素认证；在干净主机上重置特权账号口令并取消通用管理员口令，总部、门店与备份网段相互隔离。
• 交付物：溯源报告、受影响主机与数据清单、会员数据外泄评估结论与加固验收清单。