C3RB3R 勒索病毒解密与数据恢复

Lock3d 指的就是这个家族：网上搜「Lock3d 勒索病毒」「L0CK3D 后缀」，说的都是 C3RB3R 加密后留下的后缀，同一家族的不同样本分别用字母 O 和数字 0 两种写法。

时间线：

• 2022 年 12 月：BleepingComputer 论坛出现第一批求助，受害者的 TerraMaster NAS 外接盘上所有文件被追加 .LOCK3D。
• 2023 年 11 月：Atlassian 10 月 31 日披露 Confluence 数据中心与服务器的授权漏洞 CVE-2023-22518，最早的在野攻击 11 月 1 日就出现了。Rapid7、Red Canary、Huntress、SentinelOne 相继报告攻击者借此投放 C3RB3R，Atlassian 于 11 月 6 日确认有勒索攻击，并把该漏洞评分从 9.1 上调到 10。360 同期接到大量国内 Linux 用户反馈文件被改成 .L0CK3D 后缀。
• 2024 年 1 月至 4 月：Arctic Wolf 报告攻击者又借另一个 Confluence 漏洞 CVE-2023-22527 投放 C3RB3R，主要打 Linux 服务器；Cado Security 4 月公开了它的 Linux 版本分析。
• 2025 年以来：没有找到新的公开事件报告，追踪平台把它标记为不活跃。但源码与工具已经流散，旧漏洞没修的服务器仍可能中招，所以本页仍按需应急处理。

家族归属有分歧，本页两种说法都列出。 360 与 SentinelOne 称其为 Cerber 新变种，SentinelOne 还指出 Cerber 自 2016 年起断续存在、2020 年后以半私有 RaaS 方式运营。另一方的意见同样有分量：BleepingComputer 论坛的勒索软件研究者明确写道「C3RB3R 不是 Cerber 的新变种」，认为它是基于泄露的 Conti v3 代码；真正的 Cerber 用 .cerber 一类后缀。Red Canary 也判断样本很可能源自 Conti 泄露的材料，其互斥体与多个 Conti 衍生家族共用。Rapid7 则提醒，这些攻击未必是原 Cerber 团伙所为，更可能是有人拿泄露的代码「赚快钱」。对受害企业来说结论一样：没有公开解密器，处置以现场样本为准。

后缀：在完整原文件名后追加大写的 .LOCK3D（字母 O）或 .L0CK3D（数字 0），例如 1.jpg 变成 1.jpg.LOCK3D 或 1.jpg.L0CK3D。注意和 TellYouThePass 的小写 .locked、以及前面带下划线的 ._locked 区分，那是完全不同的家族。

勒索信：每个被加密的目录里放一份 read-me3.txt（文件名里的数字可能变化），标题是「C3RB3R INSTRUCTIONS」，要求下载 Tor 浏览器访问 .onion 付款页购买「C3rb3r Decryptor」，并声称数据已被下载、不付款就在暗网出售。

Windows 主机侧特征（360、Red Canary、SentinelOne）：

• 载荷落地为 C:\Windows\Temp\svcPrvinit.exe（360 样本 MD5 7415347d5ea5f0db29ec95a4a61aba90），以 -b 9 参数静默运行，运行完删除自身；
• 互斥体 hsfjuukjzloqu28oajh727190；
• 用 wmic.exe 逐个删除卷影副本（shadowcopy where "ID='{…}'" delete）；
• Confluence 的 Tomcat / Java 进程拉起 cmd 与 PowerShell。

Linux 主机侧特征（Cado、SentinelOne）：三个经 UPX 加壳的 64 位 ELF 载荷（下载器、日志检查器、加密器），下载器运行后删除自身；Python 脚本从 /tmp/lru 读取地址下载名为 qnetd 的程序再拉起加密器。

网络指标：2023 年波次的下载服务器 193.176.179.41、193.43.72.11、45.145.6.112。

判定要点：.LOCK3D / .L0CK3D 后缀加 read-me3.txt 加「C3RB3R INSTRUCTIONS」即可确认。服务器上同时有 Confluence 的，基本可以锁定入口。

Confluence 漏洞（主要入口）：

• CVE-2023-22518（授权不当，CVSS 10）：未认证的攻击者可以向 /json/setup-restore.action 提交「从备份恢复」请求，重置 Confluence 并创建管理员账号，再上传 Web Shell 插件拿到命令执行权限。Confluence 数据中心与服务器的所有未修补版本都受影响。
• CVE-2023-22527（模板注入远程代码执行）：Arctic Wolf 报告 2024 年初有攻击者借它投放 C3RB3R，主要针对 Linux 服务器，同时投放挖矿与远控程序。

拿到执行权限后，攻击者用 PowerShell（Windows）或 Python（Linux）脚本判断是否需要走代理，再从下载服务器拉取加密器运行。

NAS 与外接存储：2022 年底的首批受害者是 TerraMaster NAS 用户，多为仍在使用 TOS 4.1 / 4.2 老系统的设备。

网络共享：Windows 版本会遍历并加密所有能访问到的 SMB 共享，所以一台 Confluence 服务器中招，挂在它上面的文件服务器共享也会一起被加密。

算法：Red Canary 与 360 的分析显示，文件用 ChaCha（Salsa20 的改进版）加密，这与 Conti 最后一版的做法一致；样本里还带有 AES 与 RC4，用于加密密钥等环节。加密为多线程，覆盖本地磁盘与网络共享。

破坏恢复路径：Windows 版本加密完成后用 wmic 逐个删除卷影副本，然后删除自身。

Linux 版本的加密范围受权限限制：Cado 的分析指出，加密器会从根目录开始遍历（/usr、/var 等），但 Confluence 进程通常以低权限的 confluence 用户运行，所以实际能加密的只是该用户有写权限的文件——Confluence 的附件、索引与本地数据，以及属于该用户的其他目录。系统文件和其他用户的数据往往完好，这是 Linux 现场评估时首先要确认的。