Chaos 勒索病毒解密与数据恢复

Chaos 于 2025 年 2 月首次被观测到，在俄语犯罪论坛 RAMP 推广其跨平台加密器并招募附属成员，提供覆盖 Windows、Linux、ESXi 与 NAS 的加密器与受害者管理后台，是典型的勒索软件即服务（RaaS）。Cisco Talos 以中等置信度判断其为 BlackSuit（Royal）的换牌或由其前成员操作，依据是加密参数、勒索信结构与工具链高度相似；2025 年 7 月 24 日国际执法行动查封 BlackSuit 基础设施后，该品牌进入活跃期。需要说明的是，各厂商对起始时间口径不一：Talos 记录首次观测为 2025 年 2 月，另有厂商把它描述为执法行动之后才成形，本页采用 Talos 的时间线。

命名混淆须先厘清：本页的 Chaos 与 2021 年的 Chaos 勒索软件生成器（衍生出 Yashma、Chaos-C++ 等变种）不是一回事，Talos 指出该团伙很可能刻意利用这个名字造成的混淆掩盖身份；自称 Trinity of Chaos 的泄露站也是不同实体。仅凭名字无法判定家族。

据公开泄露站聚合统计，其泄露站自 2025 年 2 月起累计点名约 89 家，其中美国约 62 家，2026 年 9 月仍在更新（该数字随时间变化）。行业集中在制造、专业服务、能源与建筑工程。团伙声称回避金砖国家、独联体、医院与政府，但这只是单方面声明。此外 Rapid7 于 2026 年 5 月披露过一起借 Chaos 品牌做「假旗」的行动，以中等置信度关联伊朗背景 APT，只窃密不加密。

后缀与勒索信：加密文件在原名后追加 .chaos（report.xlsx 变为 report.xlsx.chaos），文件名主体不改写；受影响目录中出现 README.chaos.txt，Linux 与 ESXi 上多为小写 readme.chaos.txt。正文用英文，把攻击包装成一次「安全测试」，给出受害者专属的 .onion 注册与谈判地址、ID 以及一个支持邮箱，并威胁公开数据、对其对外服务发起 DDoS、向其竞争对手与客户散布被入侵的消息。Talos 记录的一起案例要价约 30 万美元。

入侵侧痕迹（往往早于勒索信出现）：

• 遭遇垃圾邮件轰炸，随后接到自称 IT 支持的电话或 Microsoft Teams 外部聊天与语音呼叫；
• 终端上异常出现 Quick Assist、RemSupp、AnyDesk、DWAgent、ScreenConnect 等远控与 RMM 工具；
• 文件同步工具 GoodSync 被用于批量外传；
• vssadmin 删除卷影、Kerberoasting 抓票、Impacket 经 SMB 执行命令、反向 SSH 隧道外连。

关键分支判断：若只见勒索信而现场毫无加密，应按品牌假旗情形处置，重点排查长期驻留与 MFA 配置被篡改的痕迹。

Chaos 的入口几乎不依赖漏洞利用，而是把人当作突破口：

• 邮件轰炸加语音钓鱼：先用垃圾邮件刷爆目标员工的收件箱，再由自称 IT 服务台的人通过电话或 Microsoft Teams 外部账号联系，以「帮你处理邮件问题」为由引导对方开启 Quick Assist 或 RemSupp 远程会话。Sophos 追踪的 STAC4749 集群 2026 年 2 月至 6 月波及数十家单位，约九成五在北美（加拿大与美国各占一半左右）。
• RMM 驻留：立即安装 AnyDesk、DWAgent、ScreenConnect 等商用远控与 RMM 工具并开启远程桌面，封掉一个工具也不断线。
• 凭据与横向：Kerberoasting 抓取服务账号票据，配合 Impacket 经 SMB 执行命令以及 RDP、反向 SSH 扩散，目标是域控。
• 外传与投放：用合法同步软件 GoodSync 外传数据，随后经 SMB／管理共享把加密器批量推送到全域主机与虚拟化宿主，多机同时起爆。

速度是该团伙最危险之处：Sophos 观察到的一起事件中，从 Teams 首次接触到全面加密不足 17 小时，防线必须前移到语音钓鱼与远控安装环节。

算法：文件内容用 AES-256 加密，每个文件的对称密钥由椭圆曲线密钥协商保护，Cisco Talos 逆向记录为 Curve25519 ECDH；密钥材料不明文落盘，未见公开可利用的实现缺陷。个别二手资料对密钥封装方式的描述与 Talos 不一致，实际以现场样本的逆向结果为准。

间歇加密可配置：加密器提供 /encrypt_step 参数指定每个文件被加密的百分比，取值 0–100，默认 30。这是可恢复性评估中最关键的事实——默认下大文件约七成字节未被改写，但能否修复取决于被覆盖的是否为文件头、数据库页目录等关键结构，必须实测。

其他运行参数：/lkey 传入加密密钥；/work_mode 指定作用范围（本地、网络或两者）；/ignorar_arquivos_grandes 控制超大文件的处理；/kill_vms 在加密前关停虚拟机。查获命令行是判断本次加密范围与强度的直接证据。

扩散与破坏：加密器多线程运行，枚举并排队本地磁盘与可达网络共享，NAS 与文件服务器常被一并加密；执行 vssadmin 删除卷影；ESXi／Linux 版本先关停虚拟机再加密 vmdk 等虚拟磁盘。

三重勒索：不付款则分批公开数据、对受害者对外服务发起 DDoS，并威胁把被入侵的消息散布给其客户与竞争对手；DDoS 是勒索信中的明示威胁，拒绝谈判时须同步考虑业务连续性防护。