BrzCrypt 勒索病毒解密与数据恢复

BrzCrypt 于 2026 年 5 月末首次出现，传播量在极短时间内冲到国内前列：据 360 月报，6 月「迅速跻身国内传播量前列」，7 月以 17.73% 的占比位居 360 反勒索服务受害设备家族第二（首位 Weaxor 45.45%），8 月仍以 11.11% 保持第二，同样仅次于 Weaxor。360 各期月报的口径一致：目前仅在国内传播，主要传播方式为暴力破解远程桌面口令、成功后手动投毒。

它的来历比技术细节更值得注意。360 在专项分析中把 BrzCrypt 与 Wmansvcs 归为同一攻击团伙，依据是二者相同的攻击基础设施。Wmansvcs 自 2025 年 6 月起长期稳居国内感染量前二，2026 年 4 月被 360 发现加密逻辑缺陷并成功破解、对外提供解密；旧工具失去勒索价值后，该团伙才弃用它、一个多月后推出 BrzCrypt——一次被迫的重写，新家族在密钥管理上做了明确加固。

受害面高度集中在服务器：2026 年 8 月受攻击系统中服务器大幅领先桌面 PC，操作系统前三为 Windows 10、Windows Server 2012 与 Windows Server 2008；国内恢复机构披露过一家企业的 Oracle 数据库、文件共享与 CRM、MES 服务器被 .brz 一并加密的案例。该家族没有公开的暗网泄露站（境外勒索监测平台亦未收录该名称），360 的公开分析也未记录数据外传，但攻击链明确包含批量窃取账号口令的环节，凭据外泄必须单独评估。

后缀与文件名：早期版本后缀为 .brz，2026 年 6 月起 360 已捕获多个改用 .flex 后缀的变种。完整格式是在原文件名后追加 .(__{ID}__).(__{邮箱}__).brz 或 .flex，其中 ID 与加密器同目录下 RSA 公钥文件的命名相对应。文件名里同时出现随机 ID 与 cock.li / tutamail.com 邮箱，基本可锁定该家族。

勒索信：释放英文的 information.html，开头为 YOUR FILES ARE ENCRYPTED，给出 Your unique ID，声称可先免费试解 1 个文件，付款前还可再发送最多 3 个、总计小于 1MB 的文件免费解密，主邮箱 hunter505@cock.li、备用 supp_brz@tutamail.com，并引导到境外交易所购买比特币。公开 IOC 中的邮箱还包括 talbotor@cock.li 与 billyai@cock.li。

密文特征：加密文件尾部附加被 RSA 封装的密钥数据，并以字符串 DATACORE 作为结束标识。用十六进制工具查看任一加密文件末尾，出现 DATACORE 是最干净的判定依据，也是与其他 ChaCha20 家族区分的关键。

其他迹象：桌面壁纸被替换为勒索提示图，注册表被写入启动项；加密器运行需要同目录下带 _public_key.pem 后缀的公钥文件，缺失时直接报错退出，应急现场常能在投毒目录找到该 PEM 文件；系统目录基本完好——windows、programdata、$recycle.bin、windows.old、recovery 等在排除列表内，业务盘则被完整遍历。

判定要点：.brz / .flex 后缀 + information.html + 文件尾 DATACORE 三者同时成立即可确认家族。但后缀确认不了构建版本与加密参数——恢复方案必须基于实际样本的实测结论。

360 的月报与专项分析口径一致，入侵路径非常朴素：暴力破解远程桌面口令，成功后手动投毒。没有 0day、没有钓鱼附件，全部依赖暴露在公网的 3389 与弱口令。360 对 .flex 新变种的分析给出了完整落地顺序：

• 初始突破：对公网远程桌面服务做口令暴破，拿到凭据后直接登录目标主机；
• 削弱防护：用进程管理与安全软件对抗工具关闭或规避终端防护；
• 凭据窃取：配合浏览器密码查看、网络密码导出与 Mimikatz 等组件，批量搜集本地与网络账号口令；
• 内网横移：通过远程桌面客户端主动连接内网其他主机扩大控制面——这是本轮攻击最显著的特点，也是「单点失陷扩大为内网大范围加密」的直接原因；
• 人工投毒：横移准备完成后才投放加密器，对数据库、办公文档、图片等统一加密。

这条链路指向几个反复出现的薄弱点：3389 直接映射到公网、多台服务器复用同一套本地管理员口令、服务器上保存着可直连数据库与备份系统的账号、终端防护装了没开或被卸掉——360 的统计印证了这一点，2026 年 8 月勒索反馈中未安装安全软件的设备占 57.52%。公开资料未见该家族有 RaaS 附属体系，也未见边界设备漏洞利用或钓鱼邮件案例。

密钥方案：加密器启动时检测同目录下带 _public_key.pem 后缀的 RSA 公钥文件，缺失即退出。加密时调用 OsRng 生成 32 字节 ChaCha PRNG 种子，由 PRNG 派生 32 字节对称密钥，用 ChaCha20 加密文件内容，再用 RSA 封装该密钥写入密文尾部，最后追加 DATACORE 结束标识。全程离线、不向 C2 回传密钥，解密完全依赖攻击者手中的 RSA 私钥。360 特别指出封装用的是 OAEP 填充而非早期常见的 PKCS#1 v1.5，可抵御多种针对填充方案的攻击；结合「前代被破解后才发布」的时间线，这几乎可以确定是有意识的加固。

加密范围：加密器带 drives 启动参数指定盘符，默认 all。待加密扩展名列表共 199 项，异或混淆存储、运行时动态解密，涵盖数据库（dbf、mdf、ldf、sql、sqlite、accdb）、备份文件（bak、dump、dmp、trn、bacpac）、虚拟磁盘与虚拟机配置（vmdk、vhdx、avhdx、qcow2、vmx、vmcx、vmrs），以及办公文档、图纸设计、压缩包与源代码。

两点值得管理层理解：与生产同盘、同账号可达的备份文件本身就在加密目标之内，「本机有备份」在这个家族面前基本等于没有；vhdx / avhdx / vmcx / vmrs 被直接列为目标，Windows 上的 Hyper-V 虚拟机会随宿主一起失效。公开分析中未见 Linux 或 ESXi 加密器，也未记录删除卷影、停服务或外传数据的具体行为——但这不等于卷影一定还在，现场必须实测。此外还会写注册表启动项持久化、替换桌面壁纸。

未公开的关键参数：360 没有披露 BrzCrypt 是否对大文件分块加密及步长。作为参考，前代 Wmansvcs 对小于等于 512KB 的文件全量加密、更大文件只加密前 512KB，其 .peng 分支仅加密头、中、尾三个 64KB 区块（一个 2.67MB 文件实测加密比例约 7.2%）。BrzCrypt 是否沿用只能实测，不能按前代推定。