BlackCat 勒索病毒解密与数据恢复

BlackCat（自称 ALPHV，赛门铁克称 Noberus）于 2021 年 11 月上线，是首个把主力加密器用 Rust 实现的大型勒索团伙。Rust 带来跨平台编译、高加密速度与更差的静态检测效果，此后 Qilin、RansomHub 等家族纷纷效仿——可以说 BlackCat 定义了 2022—2024 年 RaaS 的技术形态。2023 年 2 月推出的 Sphynx（BlackCat 2.0） 进一步强化了防御规避。

它的另一项「创新」是施压手段：ALPHV 曾把被窃数据做成可公开检索的网站、向受害者客户群发邮件，甚至在 2023 年就受害者未按期披露事件一事向美国 SEC 举报受害企业。这些手法后来被广泛模仿。

结局与教训。2023 年 12 月，FBI 主导的国际行动查封其泄露站点并获取密钥材料，向数百家受害组织定向提供解密；ALPHV 短暂反抗并宣布取消对关键基础设施的攻击限制。2024 年 2 月，其附属成员入侵美国 Change Healthcare，导致全美医保理赔系统大范围中断，受害方经 UnitedHealth 旗下 Optum 支付约 2200 万美元；ALPHV 核心团队独吞了这笔钱，随后于 2024 年 3 月初关停服务器，并在泄露站点贴出伪造的 FBI 查封通知——这是勒索团伙第一次伪造自己被执法查封。该附属成员手中仍留有数据副本，转投 RansomHub 进行了二次勒索。

为什么今天仍要了解 BlackCat。一方面，仍有企业在旧系统、旧备份或归档介质上遇到 BlackCat 加密的数据，而其密钥基础设施已彻底消失；另一方面，它的附属成员与手法并未消失——RansomHub、Qilin、Cicada3301 等后继平台吸收了这批人，社工电话劫持账号、先打备份与虚拟化、双重勒索加媒体施压的组合仍是当前主流。对国内企业而言，BlackCat 真正留下的遗产是：靠 IT 服务台电话重置 MFA 就能攻破的身份流程，至今仍是最被低估的入口。

后缀特征：BlackCat 不使用固定后缀。每个受害者对应一个随机生成的 7 位字符串，作为所有加密文件的后缀（例如 原文件名.7位随机串）。因此仅看后缀很容易与 Mallox、Makop 等随机后缀家族混淆。

勒索信：文件名形如 RECOVER-[与后缀相同的 7 位串]-FILES.txt，「后缀串 = 勒索信名中的串」这种对应关系是识别 BlackCat 最可靠的特征。信中提供 Tor 协商站点与受害者专属访问码，并明确列出已窃取的数据类型。

桌面与系统痕迹：

• 桌面壁纸被替换为带勒索提示的图片（早期版本典型特征）。
• 大量安全软件、数据库、Exchange、备份代理服务被停止；Exchange 服务器上日志被清理。
• 出现 PsExec、AnyDesk、Ngrok、Rclone、ExMatter/StealBit 类外传工具痕迹。
• 域内可见新建管理员账号与 GPO 改动。

虚拟化痕迹：ESXi 上虚拟机集体关机、快照删除、/vmfs/volumes 下出现勒索信；加密器可同时覆盖 Windows、Linux 与 VMware 实例。

时间线判定很重要：由于 ALPHV 已于 2024 年 3 月关停，2024 年 3 月之后仍出现「疑似 BlackCat」的加密事件，通常是后继家族（如 RansomHub、Cicada3301）或模仿者，必须重新做家族判定，否则处置方向会错。

BlackCat 附属成员的入侵手法以身份为核心，这也是它区别于纯漏洞型家族的地方。

1. 社工电话与 IT 服务台冒充。CISA 公告明确指出，ALPHV 附属成员会冒充公司 IT 或服务台人员，通过电话或短信联系员工，诱导对方提供凭据、批准 MFA 推送或协助重置 MFA。这一手法与 Scattered Spider 等组织的做法一致，也是 BlackCat 攻破大型企业的主要方式——技术防线完好，身份流程被绕过。

2. 已泄露凭据与初始访问经纪人。购买现成账号，或用凭据填充攻击无 MFA 的 VPN、Citrix、邮箱与远程桌面网关。

3. 边界设备与应用漏洞。未修补的 VPN、Exchange、文件传输与管理类应用是常见入口。

4. 钓鱼与恶意广告。少量案例通过钓鱼邮件或伪装成合法软件的下载页投递加载器。

进入内网后的动作高度标准化：抓取凭据与域信息 → 提权至域管 → 定位并破坏备份（含 Veeam、备份存储与云同步）→ 用 Rclone/ExMatter 外传数据 → 通过 GPO、PsExec 或 vCenter 在非工作时段批量投放加密器，同时覆盖 Windows 主机与 ESXi 虚拟机。

值得注意的是，BlackCat 关停后，同一批附属成员带着同样的手法转到了 RansomHub、Qilin 等平台，所以针对这套路径的防护在今天依然直接有效。

算法：Rust 实现的混合加密——文件数据用 ChaCha20 或 AES（按配置与硬件能力选择），会话密钥用攻击者的公钥封装。密文侧无公开可利用缺陷。

多加密模式是 BlackCat 的技术标志。其加密器支持按文件大小与类型选择覆盖策略，公开分析中记录的模式包括全量加密（Full）、只加密文件头（HeadOnly）、按固定间隔的点阵式（DotPattern）、以及 SmartPattern / AdvancedPattern / Auto 等自适应模式。实际效果是：

• 小文件、配置文件通常被全量加密；
• 大文件（vmdk、数据库数据文件、归档包）往往只有部分数据块被覆盖，其余仍是原始数据；
• 同一次事件中不同文件的加密覆盖率可能完全不同，所以恢复评估必须逐类文件实测。

破坏动作：

• 删除卷影副本，停止并禁用数据库、Exchange、备份代理服务；
• 清理 Exchange 等服务器上的日志，妨碍取证；
• 具备自传播能力（通过 PsExec 向域内其他主机投放）；
• ESXi 上先关机删快照再加密 vmdk。

双重勒索：加密前完成外传，并以公开检索站点、客户群发邮件、向监管举报等方式加压。需要强调的是，ALPHV 已于 2024 年 3 月退出且独吞过赎金，其「付款换密钥」的通道既不存在也从无信用。