Akira 勒索病毒解密与数据恢复

Akira 勒索病毒于 2023 年 3 月首次公开出现，运营方被业界追踪为 Storm-1567、Howling Scorpius、Punk Spider、Gold Sahara 等代号，代码与人员均被认为与已解散的 Conti 体系存在关联。它以 RaaS（勒索软件即服务）模式运作：核心团队开发加密器与泄露站点，附属成员负责入侵与投毒，赎金分成。其泄露站点采用复古绿字终端界面，是该家族最容易辨识的标志之一。

美国 CISA、FBI、DC3 与多国伙伴在 2024 年 4 月首次发布 #StopRansomware 联合公告（AA24-109A），并于 2025 年 11 月 13 日做出重大更新，公告称 Akira 附属成员累计获取的赎金已达约 2.44 亿美元，并将其定性为对关键基础设施的紧迫威胁。公开统计显示，2025 年全年 Akira 在泄露站点挂出的受害组织接近千家；进入 2026 年，Akira 仍与 Qilin、DragonForce 等家族同处全球最活跃勒索团伙的第一梯队。

从行业分布看，Akira 最集中的目标是制造业、教育机构、信息技术、医疗卫生、金融服务与食品农业，且明显偏好中小型企业——这类组织往往有完整的虚拟化平台，却缺乏 MFA、日志留存和离线备份。

对中国企业的现实意义在于其入口与打击面：Akira 的主要入侵方式（VPN 账号无二次验证、Cisco/SonicWall/Fortinet 等边界设备未修补、Veeam 备份服务器暴露）与国内企业普遍的网络架构高度吻合；它对 VMware ESXi 乃至 Nutanix AHV 的加密能力，正对应国内制造业与医院大量采用的「一台超融合承载全部业务」的部署方式。国内安全厂商（如天融信、FreeBuf 社区）自 2023 年起即持续跟踪 Akira 利用 Cisco VPN 入侵企业网络的活动。

后缀特征：绝大多数样本把文件名改为 原名 + .akira；Megazord 分支使用 .powerranges；另有 .akiranew、.aki 等变体。Linux/ESXi 加密器同样追加 .akira，重点落在 .vmdk、.vmx、.vmsn 等虚拟机文件上。

勒索信：根目录与各用户目录下散布 akira_readme.txt，部分版本为 fn.txt。文本以「Hi friends」之类口吻开头，声称已窃取数据，不给邮箱、不给钱包地址，只给一个 Tor 洋葱地址和一串受害者专属登录码——这一点与 Phobos、GlobeImposter 等「留邮箱」的家族区别明显。

主机侧痕迹：

• PowerShell 调用 Win32_ShadowCopy 删除卷影副本；事件日志被清理。
• 大量安全软件与数据库、备份服务被停止；出现 PsExec、AnyDesk、RustDesk、Radmin、Cloudflared 等远控/隧道工具。
• 外传阶段常见 Rclone、WinSCP、FileZilla、MEGA 客户端流量。
• BYOVD 关停杀软（2025 年 7 月起）：rwdrv.sys（ThrottleStop 的合法驱动）与 hlpdrv.sys 被注册为服务加载，Defender 的 DisableAntiSpyware 注册表项被改写。
• 安全模式规避 EDR（2026 年 8 月首次观测）：主机被重启进「带网络连接的安全模式」，多数 EDR 不随之加载；AnyDesk 被写入安全模式对应的注册表项，实现重启后自启。
• ESXi 上表现为虚拟机集体离线、快照被删、/vmfs/volumes 下出现勒索信。

注意：不要把 2017 年的同名 "Akira" 勒索软件与本家族混为一谈，两者毫无关系，早期解密工具也互不通用。

Akira 附属成员的入口高度集中在边界与身份两条线上，很少依赖用户点击。

1. 没有 MFA 的 VPN 与远程接入。这是 CISA 公告列在首位的入口：用凭据填充、暴力破解或从初始访问经纪人（IAB）处购买的账号直接登录 SSL VPN，随后横向移动。相关漏洞包括 Cisco ASA/FTD 的 CVE-2020-3259、CVE-2023-20269，以及 SonicWall SSL VPN 的 CVE-2024-40766。已启用 MFA 也不等于免疫：2025 年 9 月 Arctic Wolf 观测到 Akira 成功登录已开启 OTP 二次验证的 SonicWall SSL VPN 账号，推测其复用了设备打补丁之前被窃的凭据与 OTP 种子。因此曾暴露过的设备必须重置全部 VPN 凭据与 OTP 种子，仅打补丁无效。

2. 备份与虚拟化组件漏洞。Veeam Backup & Replication 的 CVE-2023-27532、CVE-2024-40711 被反复利用——先拿下备份服务器，再删除备份、最后加密，这是 Akira 造成「备份和生产一起没了」的典型路径。

3. 暴露的 RDP 与弱口令。对外开放 3389、域内使用同一本地管理员口令，都会被迅速利用。

4. 钓鱼与远控滥用。少量案例通过钓鱼邮件投递或滥用 AnyDesk/RustDesk 等合法远控建立立足点。

进入内网后，典型动作是：用 Mimikatz/LaZagne 抓取凭据 → 用 AdFind、Advanced IP Scanner、SoftPerfect 做域与网络测绘 → 建立域管账号 → 通过 PsExec 或 GPO 批量投放加密器 → 先用 Rclone 外传数据，再在非工作时段统一加密。Akira 对 ESXi 的处理是先用 vim-cmd 批量关机、删快照，再加密 vmdk，最大化破坏面。

算法：CISA 公告将其描述为 ChaCha20 流加密与 RSA 公钥的混合方案——每个文件（或文件块）用 ChaCha20 加密，ChaCha20 密钥再用攻击者 RSA 公钥封装写入文件尾部。由于私钥只存在于攻击者手中，从密文侧逆推密钥在数学上不可行。

间歇加密（部分加密）：Akira 的加密器按文件类型与大小自动选择「全量加密」或「部分加密」。小文件全量加密；大文件只加密若干数据块，中间成段跳过。这是 Akira 能在几小时内打完整个虚拟化集群的原因，同时也留下了恢复的操作空间——对 .vmdk、数据库 .mdf/.ndf、.dbf 这类大文件，未被覆盖的区段仍是原始数据。具体比例视版本与命令行参数而定，必须逐例实测，不能按经验套用。

破坏动作：

• 通过 PowerShell 调用 Win32_ShadowCopy 删除全部卷影副本；
• 停止并禁用数据库、Exchange、备份代理等服务，确保文件可被独占打开；
• 清理事件日志、删除自身；
• 在 Linux/ESXi 上先关机删快照再加密，并在 2025 年 6 月起被观测到加密 Nutanix AHV 环境（公开报告中的首例）。

双重勒索：加密前完成数据外传，赎金谈判同时覆盖「解密」与「不公开数据」，未付款者被挂上泄露站点分批放出文件。