Anubis 勒索病毒解密与数据恢复

Anubis（早期试验版本代号 Sphinx）于 2024 年 12 月出现，是讲俄语的 RaaS 团伙，在 RAMP、XSS 论坛以 superSonic、Anubis__media 招募附属，提供三种分成：加密勒索附属拿 80%、纯数据勒索 60%、初始访问变现 50%（只接受美欧加澳目标）。

它与同期家族的根本差别是加密器内置擦除模式：以 /WIPEMODE 投放时文件内容被永久清零，文件名仍在但大小为 0 KB——付款拿到密钥也还原不了，赎金退化为纯时间压迫。

截至 2026 年 9 月，其泄露站累计公布逾百家单位，美国过半，英、澳、法、加次之，行业以医疗、制造、专业服务与金融居前。2026 年 6 月 Resecurity 披露其攻击一家亚得里亚海港务局，货物跟踪与清关中断；7 月可口可乐披露旗下 Fairlife 遭勒索攻击、美国生产一度停摆（Fairlife 在美国共有四处生产设施），Anubis 随后在泄露站认领并声称已加密对方 Nutanix 平台、窃取约 1 TB 数据——加密范围与数据量均系攻击者单方声称、未获独立核实，可口可乐其后确认确有数据被窃。

「Anubis」一名在情报中存在歧义，还指 Android 银行木马与 AnubisBackdoor，三者无关，须以后缀和样本特征定性。目前无公开报告确认中国大陆企业被点名，但其入口——公网 Citrix / SSL VPN、缺少多因素认证的远程账号——在国内同样普遍。

后缀与勒索信：被加密文件在原名后追加 .anubis（Trend Micro 的样本截图记为 .anubis. 带一个尾点，其余厂商记为 .anubis，现场以实际文件名为准），受影响目录出现 HTML 格式的 RESTORE FILES.html，内容为英文，给出受害者专属编号、Tor 谈判门户与公开数据倒计时，不提供邮箱。

最易被误读的是擦除痕迹：若攻击者带 /WIPEMODE 投放，目录里会出现大量文件名正常、大小为 0 KB 的文件。现场常把它当成「文件损坏」或「磁盘故障」，去跑磁盘检查或重建 RAID，这是最危险的误操作。正确做法是清点 0 字节文件的数量与分布，并与 .anubis 文件分开统计。

其他迹象：

• 加密文件图标被替换为 Anubis 徽标，部分样本尝试更换桌面壁纸；
• 终端防护告警名形如 Ransom:Win64/Anubis.A；
• 日志中可见 vssadmin 删除卷影副本、数据库与备份代理进程被强制停止；
• Linux 加密器落地文件名形如「六位数字_encrypt_x86_64」；
• 公司名出现在 Anubis 泄露站并附样本数据包，说明数据已外传。

判定要点：后缀加勒索信可确认家族，但决定处置方向的是加密文件与 0 KB 文件的比例，必须先做全量清点。

入侵高度集中在「边界设备 + 合法凭据」：

• CitrixBleed 2（CVE-2025-5777）：对配置为 Gateway / AAA 虚拟服务器的 Citrix NetScaler 做预认证内存泄露，窃取会话令牌直接绕过多因素认证，是 2026 年的主要入口；
• 有效 VPN 凭据：来自历史泄露、信息窃取木马日志与访问掮客；实测中可见针对 Cisco AnyConnect 的合法凭据登录，来源集中在少数 VPS 托管商的 ASN；
• 鱼叉钓鱼：带恶意附件或链接的定向邮件，Trend Micro 与港务局事件报告均以此为起手；
• RDP 暴露：微软对该家族的描述把 RDP 利用与恶意加载器一并列为分发途径。

除 CVE-2025-5777 外，目前没有公开报告确认 Anubis 利用过其他具名边界漏洞；把排查面扩大到所有暴露在公网的远程访问入口，比逐个对号入座更有效。

进入内网后同样「低技术、高效率」：用 ScreenConnect、Zoho Assist、MeshAgent、UltraVNC、mRemoteNG 等正规运维工具持久化，混在日常 IT 流量里难以靠特征发现；在服务器甚至 NAS 上安装 cloudflared 建出站隧道；经 RDP 与 PsExec 横向移动，把 Hyper-V 等虚拟化宿主当跳板；用 Mimikatz、浏览器保存密码与域控 ntds.dit 获取凭据；再以 rclone、s5cmd、WinSCP 外传数据。

停留时间可以很短：有案例显示从隧道搭好到投放加密器只隔约 24 小时。边界设备补丁与 VPN 多因素认证是成本最低的对策。

算法：文件内容用流式对称算法加密，每个文件的密钥经椭圆曲线集成加密方案（ECIES）封装，运营方广告中称之为「ChaCha + ECIES」，公开逆向指出其 ECIES 实现与 EvilByte、Prince 同源（基于 Go 的 ecies 库）。加密器启动须由 /KEY= 提供密钥材料，无攻击者私钥则无可逆推路径。

命令行参数：/KEY=、/elevated（提权）、/PATH=（指定目录）、/PFAD=（排除目录）、/WIPEMODE（擦除）。投放为人工操作，同一环境中不同主机的加密范围可能完全不同，清点损失必须逐台核对。

行为：先探测管理员权限，不足则令牌提权；随后用 vssadmin 删除卷影副本、强制停止数据库与备份代理进程，并跳过系统关键目录以保证主机仍可开机。/WIPEMODE 下文件内容被永久清零，文件名保留、大小归零——这是评估时最先要确认的事实。

关于间歇加密：公开研究至今未报告 Anubis 采用间歇/部分加密，不能想当然认为数据库与虚拟磁盘里必然保留完好区块；实际覆盖比例须拿真实样本逐字节测量，这直接决定页级重建是否可行。

平台与勒索方式：运营方在招募广告中宣称覆盖 Windows、Linux、NAS 与 ESXi；实测已见 Linux 加密器落地与 Synology NAS 被入侵，Fairlife 事件中攻击者声称加密了 Nutanix 平台。需要说明的是，截至目前尚无公开的 ESXi 加密器样本分析，ESXi 支持只见于广告口径——虚拟化平台仍应按高风险对待，但不宜把「一定有 ESXi 专版」当作既定事实。加密前先外传数据，未付款则在泄露站分批公开并以倒计时施压。