Aurora 勒索病毒解密与数据恢复

Aurora（泄露站自称 Aur0ra，用数字 0 代替字母 o）是 2026 年 4 月下旬浮出水面的新兴双重勒索团伙：威胁情报平台上最早的受害者记录为 4 月 17 日，泄露站 4 月 29 日被收录，360《2026 年 4 月勒索软件流行态势分析》亦将 Aur0ra 列入当月全球新增双重勒索家族（仅列名，未作技术分析）。截至 2026 年 9 月上旬，ransomware.live 累计收录 39 条受害者条目，最新一条发布于 9 月 7 日；不同监测方的计数差异较大（另有分析给出 28 例、33 例），实际规模应视为「数十家」量级而非精确值。按该平台统计，受害者覆盖 11 个国家，美国最多，德国、荷兰、加拿大、英国次之；制造业占比最高，其后为专业服务、零售电商与运输物流。公开分析一致指出，其操作记录始终排除独联体（CIS）地区的 IP 段与域名。

2026 年 8 月底，CloudSEK 与 Gambit Security 公布了一台配置失当的 Aurora 附属成员服务器所暴露的作业记录：该成员 4—7 月入侵 9 个国家的 20 余家机构，17 家取得域级或交互式权限，4 家被挂上泄露站，并在 10 个目标上（4 月 8 日至 5 月 21 日）交互式使用 AI 编码代理辅助实战利用。赎金分成逐笔浮动（公开报道称附属方约 54%–79%），更接近松散的附属体系而非固定抽成的成熟 RaaS。

公开信息有限：截至 2026-09-11 无 CERT 或执法机构正式通告，技术分析仅来自两三份数量有限的私营调查（且分别只覆盖入口手法或加密器逆向，互不重合），部分细节只有单一来源支撑，受害者计数也因监测平台而异。目前没有公开报告显示 Aurora 对中国大陆企业发起过定向攻击，但其入口手法与打击面在国内同样成立。

最反常的一点：不改文件名、不追加后缀。 1.jpg 加密后仍叫 1.jpg，目录列表看上去毫无变化，只有打开时才发现内容不可读。这使得「按后缀判定家族」的常规手法在此完全失效，也常导致企业延误数小时才意识到是勒索攻击，而非应用或存储故障。

勒索信：!!!README!!!DO_NOT_DELETE.txt，开头连续感叹号用于把文件顶到目录列表最前。正文极短，只声明机密文件已被下载、文件已被加密，要求通过 Tor 浏览器联系，末尾给出受害者专属 access key。

Linux / ESXi：加密器不落地勒索信文件，而是把勒索内容写入 SSH 登录横幅，管理员下次登录宿主时才会看到。

文件尾部标记：已公开分析的样本在加密文件末尾写入固定魔数 66 18 A7 2F，配合 RSA 封装的每文件密钥，是目前最可靠的家族判定依据之一。

周边落地文件：域内可见 dist.exe（SMB 分发器）、updater.ps1（持久化脚本），以及伪装成 ChromeUpdate.exe、ConnectivityHost.exe 的 Xray-core 代理；Windows 加密器样本名见过 sap.exe，Linux/ESXi 侧为 encrypt.out。这些文件名与魔数均来自少数几份公开调查，实战判定时应结合样本实测，不宜作为唯一依据。

邮件轰炸 + 服务台语音钓鱼（vishing）：目前唯一有公开事件记录的入口手法。攻击者先向目标员工灌入 900 封以上垃圾邮件制造混乱，随即冒充「IT 服务台」致电，以「帮你处理邮件问题」为由诱导员工授予远程控制，从而拿到第一台机器。这条路径绕过所有边界设备，防线在人身上。需要说明的是，另外两份调查报告并未记录初始入口，因此不能断定这是该家族的唯一或必然路径。

域内提权链：NetExec 配合自定义 LDAP/SMB 发现模块枚举，再通过 noPac 自定义脚本、Certipy 与 AD 证书服务模板滥用（ESC1 / ESC6 / ESC8）、Impacket ntlmrelayx 配合 PetitPotam / PrinterBug / DFSCoerce 强制认证中继，提权至域管理员；个别目标上还用过 MS17-010（EternalBlue）。横向移动走 SMB、LDAP、WinRM、RDP 与 RPC。

虚拟化定位：配套的自定义发现脚本 esxi_finder.py 专门发现 ESXi 与 vCenter——虚拟化平台是既定目标，而非顺手打击。

数据外传与 C2：PowerShell 驱动 7-Zip 按 50GB 分卷打包外传；C2 使用 Metasploit 监听器，流量经租用于德国、美国 VPS 的 SOCKS 跳板回传。

时间窗：从攻击者取得访问到受害者被挂上泄露站，公开记录中最快约两周，最长不超过两个月，另有分析给出中位数约 12 天。这意味着检测与阻断的窗口确实存在，只是常被淹没在日常告警里。需要注意，公开的工具清单中包含 DCSync 等价能力，不应假设域控凭据未被批量导出——应急时须按「已发生」处置。

实现：加密器用 Zig 编写，同一套代码编译出 2 个 Windows 变体与 2 个 Linux/ESXi 变体。

算法：非对称部分为 RSA-4096 封装每个文件的对称密钥；对称部分目前只有 Linux 变体的公开逆向结论——ChaCha20。Windows 变体的对称实现尚无公开逆向确认，不能假定与 Linux 侧完全一致，实际取证需按样本判定。密钥材料不以明文落地。

间歇加密：已公开的命令行参数包含 -percent（加密比例）、-threads、-path、-f、-scanners、-noparallel、-extensions、-allowfolders、-esxi。大文件因此通常只有一部分区块被覆盖，数据库文件与虚拟磁盘存在结构修复空间；但覆盖比例取决于攻击者当次所用参数，必须对实际文件实测，不能按家族一概而论。

Windows 侧：删除卷影副本、关闭系统还原，并检测 Hyper-V 环境。

ESXi 侧：先收集所有运行中虚拟机的 World ID 并强制终止以释放文件锁，再加密 vmdk、vmx、vmsd、vmsn、nvram、vmem、vswp、log 等文件，同时刻意跳过 BOOTBANK*、OSDATA* 等系统卷，使宿主仍可启动、管理员仍能登录看到 SSH 横幅上的勒索内容。

双重勒索：先外传后加密，泄露站 Aur0ra Blog 为 Tor 暗网站点；据公开调查，约五分之一的确认受害者最终被挂上泄露站，其余在谈判阶段了结。