Beast / GodDamn 勒索病毒解密与数据恢复

Beast 不是一个突然冒出来的新家族，而是同一开发者三次换牌的产物。Symantec 把这名开发者追踪为 Hyadina，其勒索业务至少可追溯到 2022 年 3 月：最早的 Monster 用 Delphi 编写、只针对 32 位 Windows；2024 年 6 月换牌为 Beast，加入 Linux 与 VMware ESXi 支持、更多界面语言（包括中文选项）和更快的加密速度；2026 年 5 月 21 日首次出现的 GodDamn 是最新一次换牌，Symantec 比对后确认其与 Beast 代码高度重合。三代产品都刻意回避独联体国家的目标。

Beast 以勒索即服务（RaaS）方式运营。据 Cyber Security News 2025 年 10 月的报道，其 Tor 泄露站于 2025 年 7 月上线，到 8 月已公开 16 家受害者，分布在美国、欧洲、亚洲与拉美的制造、建筑、医疗、商业服务与教育行业；同一受害者会收到不同附属成员的谈判消息，说明背后是多个附属在投放。

为什么国内企业需要关注：360 在 2026 年 8 月的勒索软件月报中把 Beast（检索关键词 God8Dam）列入国内活跃家族，传播方式为「漏洞利用及暴力破解数据库口令后手动投毒」。这与 Mallox、Weaxor 等国内高发家族的打法相近——数据库服务暴露在公网、口令强度不够的企业都在其打击面内。

后缀：GodDamn 在部分攻击中给文件追加 .God8Damn；但 Symantec 调查的那起事件里，攻击者直接把受害单位自己的名称当作后缀。所以「后缀是公司名」本身就是一个强烈信号，按后缀上网搜索往往搜不到结果。

勒索信：Beast 时期的勒索信为 README.txt，写入每个被加密的目录，内容来自加密器内嵌的配置；GodDamn 的勒索信文件名未见公开记录，联系方式为电子邮件或 qTox。

主机侧特征：

• 互斥量 BEAST HERE?（Cybereason 记录，用于防止重复运行）；
• 加密过程中按 ALT+CTRL 再输入 666 可唤出加密器界面；
• GodDamn 事件中出现名为 encrypter-windows-gui-x86.exe 的加密器，落在用户的「下载」与「音乐」目录；
• 「音乐」目录下名为 symantec.exe 的程序把 PoisonX 驱动写入驱动存储区，文件名 g11.sys；
• AnyDesk 被配置为无人值守访问并注册成两个开机自启服务。

判定要点：.God8Damn 或单位名后缀，加 README.txt 或 qTox 联系方式，加 AnyDesk 与 g11.sys 一类痕迹，基本可以锁定这一家族。由于后缀不固定，最终仍要以加密样本与勒索信比对为准。

国内的入口（360）：漏洞利用，以及暴力破解数据库口令后手动投毒。数据库端口直接暴露公网、使用弱口令或默认口令的服务器风险最高。

海外的入口（ASEC 与 Cybereason）：冒充版权侵权通知或求职简历的钓鱼邮件，部分活动同时投放 Vidar 窃密木马预先收集凭据；以及被攻破的 RDP 远程桌面。

落地后的工具链（Symantec 对 GodDamn 事件的复盘）：

• AnyDesk 配置为无人值守访问，作为持久化远控；
• Mimikatz 加 13 个以 NirSoft 为主的凭据窃取工具，覆盖浏览器、凭据管理器、VNC、邮件、Wi-Fi 与网络流量；
• Netscan 做内网侦察，PsExec 横向移动；
• 关闭 Windows Defender 实时防护；
• 用 PoisonX 内核驱动致盲安全软件（见「加密行为」）。

该事件的时间线很有代表性：5 月 29 日 AnyDesk 首次出现，5 月 30 日第二台主机部署 PoisonX 与凭据工具，6 月 1 日开始横向移动，6 月 2 日前至少 10 台主机被装上 AnyDesk，6 月 3 日加密器在另一个网段被检出。从第一个痕迹到加密只有五天左右，这五天就是发现和阻断的窗口。

内网扩散：加密器会扫描处于活动状态的 SMB 端口，自动尝试加密可访问的共享文件夹，不需要额外的用户交互，也不需要外部 C2 通信。

算法：Cybereason 记录为椭圆曲线加 ChaCha20 的混合加密；多线程加密，父线程把文件分派给子线程处理。加密前借 Windows 重启管理器（RstrtMgr.dll）解除文件占用，以便加密正在使用的文件。

删除卷影副本：通过 WMI 查询 Win32_ShadowCopy 并逐个调用 DeleteInstance 删除，Windows 本地的「以前的版本」基本不能指望。

Linux 与 ESXi：Beast 提供可自定义加密路径与关闭虚拟机选项的 Linux、ESXi 版本，并有离线生成器可配置 Windows、NAS 与 ESXi 构建。虚拟化平台被打时，整台虚拟机的磁盘文件都会被加密。

PoisonX 驱动：GodDamn 事件中使用的 PoisonX 是一个带有效微软签名的恶意内核驱动，能终止安全软件进程、剥夺其权限，并篡改内核事件通知让安全产品收不到告警；此前曾被用来通过未公开的 IOCTL 接口关停 CrowdStrike Falcon 服务。The Gentlemen 的运营者也把它集成进了发给附属的防御关闭工具。