Babuk 勒索病毒解密与数据恢复

Babuk Locker 于 2021 年 1 月被发现，是最早系统性开展「加密 + 数据泄露」双重勒索的家族之一，也是最早为 VMware ESXi 与 ARM 架构 NAS 单独编写加密器的团伙之一。其最知名的事件是 2021 年攻击美国哥伦比亚特区警局并公开大量内部档案，随后团伙宣布停止加密业务、转做数据泄露平台。

真正让 Babuk 在今天仍然重要的是两次泄露。2021 年 7 月，Babuk Locker 的构建器被公开，攻击者随即用它批量生成定制勒索载荷；同年 9 月，一名自称罹患癌症的成员把完整源码（含 Windows 的 C++ 版本、ESXi 的 C++ ELF 版本、NAS 的 Golang 版本以及多个 Visual Studio 工程）发布到俄语黑客论坛。SentinelLABS 在 2022 年下半年至 2023 年上半年统计到至少 10 个勒索家族的 ESXi 锁定器直接基于这套泄露代码构建。也就是说，许多中国企业今天在 ESXi 上遇到的「不知名后缀」勒索病毒，其加密逻辑血统都来自 Babuk。

2025 年 1 月出现的「Babuk2 / Babuk-Bjorka」是另一回事：Halcyon、GuidePoint 与多家机构分析后指出，其公布的受害者中约九成此前已被 RansomHub、FunkSec、LockBit 等团伙声明过，未见新的加密活动痕迹，属于用旧数据二次索赎的冒名操作，连原 Babuk 成员也否认关联。

对中国企业的现实意义在于：Babuk 本体虽已不活跃，但「暴露的 ESXi 管理口 + 弱口令/无 MFA」这条被 Babuk 系锁定器反复使用的入侵路径，仍是国内虚拟化环境被打穿的主流方式。

后缀：原始 Babuk 会追加 .babuk、.babyk 或 .babuk2；也观察到 .doydo 以及少见的 .NIST_K571（对应其使用的椭圆曲线名称）。基于泄露构建器生成的变种后缀完全由攻击者自定义，因此「后缀不认识」并不能排除 Babuk 血统。

勒索信：文本文件 How To Restore Your Files.txt（部分版本为 HTML），英文，声明已加密并窃取数据，要求通过 Tor 聊天页谈判，早期版本会附邮箱。

ESXi 场景特征：

• /vmfs/volumes 下的 vmdk、vmx、vmsd、vswp 文件被加密，虚拟机无法开机；
• 宿主上可见异常 ELF 二进制与 esxcli / vim-cmd 批量关机痕迹；
• 勒索信常落在数据存储根目录与 /tmp。

NAS 场景特征：Golang 编译的 ARM/x86 二进制在共享目录逐层加密，套件与快照服务可能被停止。

判定要点：确认是「原始 Babuk」还是「构建器衍生变种」是关键——前者可能可解，后者几乎一定不可解。判断依据是加密文件尾部结构、嵌入的公钥指纹与二进制特征，而不是后缀名。

Babuk 本体活跃期的入侵方式，以及其衍生锁定器至今沿用的路径：

• 暴露在公网的远程访问：RDP 弱口令与暴力破解，是 2021 年 Babuk 最常见的起点；
• VPN 与边界设备漏洞：利用未修补的 VPN 网关、防火墙管理接口获取内网立足点；
• 虚拟化管理口直连：ESXi / vCenter 的 443、22、902 端口暴露在公网或办公网可直达，配合弱口令或已知漏洞直接拿下宿主——这是 Babuk 系 ESXi 锁定器最典型的打法；
• NAS 直连：群晖、威联通等设备开放公网访问且未更新固件；
• 横向移动与提权：凭据转储、PsExec、计划任务、域内批量投放；
• 数据外传：压缩后经云盘或 FTP 外传，用于泄露施压。

由于构建器已公开，使用 Babuk 系载荷的攻击者水平差异极大：既有成熟团伙的定向入侵，也有低水平攻击者靠扫弱口令碰运气，后者在国内中小企业中更常见。

算法：原始 Babuk 使用 SHA-256 派生、ChaCha8 做内容加密，配合 ECDH（Curve25519 / 部分版本 NIST K-571）完成密钥协商，每个文件独立密钥。设计上属于「无私钥不可解」，2021 年能出解密器完全是因为源码与部分私钥被泄露，而非算法本身有缺陷。

间歇加密：对大文件采取分块跳跃加密以提速，具体步长随版本与构建器参数变化。这为数据库文件与虚拟磁盘保留了未被覆盖区域，是衍生变种案例中最主要的修复切入点，但可修复程度需实测。

虚拟化与 NAS：ESXi 版本会先通过命令批量强制关闭虚拟机再加密数据存储文件，避免文件锁导致加密不完整；NAS 版本针对共享目录与常见挂载点。

破坏恢复能力：Windows 版本删除卷影副本、停止数据库与备份相关服务；ESXi 版本删除虚拟机快照。

双重勒索：Babuk 是较早建立专门泄露站的家族之一，并在停止加密后转型为纯数据泄露平台。