Conti 勒索病毒解密与数据恢复

Conti 最早于 2019 年 12 月被记录，2020 年起大规模使用，技术上脱胎于 Ryuk，由俄语背景的 Wizard Spider（TrickBot 团伙）以勒索软件即服务模式运营：核心团队维护加密器、谈判门户与「Conti News」泄露站，附属成员负责入侵投放并分成。

2021 年 5 月 14 日的攻击迫使爱尔兰国家医疗服务体系（HSE）关停全国 IT 系统，到当年 9 月才恢复约 95% 的服务器与终端；同年 9 月 CISA、FBI 与 NSA 发布联合通告 AA21-265A，初版记录 400 余起攻击，2022 年 2 月更新时升至 1000 余起；2022 年 4 月 17 日起对哥斯达黎加多个政府机构的攻击，促使该国于 5 月 8 日宣布进入全国紧急状态。

转折点是 2022 年 2 月 27 日：Conti 公开声援俄罗斯后，一名乌克兰研究者放出其 Jabber 后台 6 万余条内部聊天（约 60,694 条），数日后加密器源码与管理后台也被公开，史称 ContiLeaks。同年 5 月美国国务院发布悬赏——针对头目身份与位置最高 1000 万美元，针对参与者的抓捕与定罪最高 500 万美元；5 月 19 日谈判与管理后台关停，泄露站与谈判站于 6 月 23 日整体下线。FBI 估算截至 2022 年 1 月，相关受害者逾千家、已支付赎金逾 1.5 亿美元。

品牌消失但人没散：公开研究将 HelloKitty、AvosLocker、Hive、BlackCat、BlackByte、Karakurt 与 Conti 的人员或基础设施关联，Black Basta 与 Royal/BlackSuit 亦被普遍认为承接了 Conti 的班底；Arctic Wolf 在 2023 年 7 月以赎金资金流向与代码相似度为据，高置信度地将 Akira 与 Conti 附属成员关联。执法仍在推进：2025 年 5 月德国联邦刑警点名该体系头目「Stern」为 Vitaly Nikolaevich Kovalev；2026 年 9 月 11 日，乌克兰籍成员 Oleksii Lytvynenko 因参与 Conti 攻击在美被判 4 年监禁（他 2023 年 7 月在爱尔兰科克被捕，2026 年 6 月认罪）。Conti 今天的意义是「遗产」——手法被后继团伙完整继承，源码仍在滋生新变种，2021—2022 年封存的旧数据仍等待处置结论。

后缀：早期版本追加 .CONTI；2021 年起改为随机 5 位大写字母（如 .RHMLM、.UAKXC）；2022 年 1 月起进一步改为 5 位大小写混合的字母数字（如 .ZG7Ak、.wjzPe），以绕开只匹配全大写模式的检测规则。「后缀看上去像一串随机字符」恰恰是 Conti 的典型特征，不能据此排除。

勒索信：加密后在各目录留下 CONTI_README.txt、readme.txt、R3ADM3.txt 或 CONTI.txt，英文内容声称已窃取数据并给出 Tor 谈判门户链接，早期版本另列加密邮箱地址；一般不改写桌面壁纸。

衍生变种：.KREMLIN、.RUSSIA、.PUTIN 属于源码泄露后的第三方改造版 MeowCorp，不是原团伙所为，却是目前唯一有公开解密工具的一支。

判定要点：2022 年 6 月之后出现的「Conti」，绝大多数是源码衍生变种，或被误标的后继家族（Black Basta、Royal、Akira 的模式各不相同）。必须取 3–5 个加密文件、勒索信原件与相关日志做样本级判定。

Conti 的入口组合在 2021—2022 年被整个勒索生态复制，至今仍是国内企业最常见的失陷路径：

• 钓鱼邮件投递加载器：恶意文档或链接先落地 TrickBot、BazarLoader 或 IcedID，再拉起 Cobalt Strike；2021 年起 BazarLoader / BazarBackdoor 逐步取代 TrickBot 成为主要投递通道。
• 被窃或弱口令的 RDP 账号：直接用合法凭据登录，无需漏洞。CISA 通告把它与钓鱼并列为两大主要入口。
• 公网服务漏洞：ProxyShell 系列 Exchange 漏洞（CVE-2021-34473 / 34523 / 31207，Sophos 有完整入侵记录）、FortiGate 的 CVE-2018-13379 与 CVE-2018-13374。
• 横向移动与提权：Mimikatz、ProcDump 抓取 lsass 凭据，Zerologon（CVE-2020-1472）、PrintNightmare（CVE-2021-34527）提权，PsExec、MS17-010 与 AnyDesk / Atera / Splashtop / Remote Utilities 等商用远控铺开。Log4Shell（CVE-2021-44228）在 Conti 手里是内网横向手段而非初始入口——2021 年 12 月有情报厂商记录其在已失陷网络中用它打 VMware vCenter。
• 窃密外传：加密前用 Rclone 把数据同步到 Mega 等云盘。

The DFIR Report 记录的一起真实入侵中，从初始感染到全域投放仅约 5 天，加密器由备份服务器上的批处理脚本统一推送到全部域内主机——先打备份、再打全网，是 Conti 系团伙的固定套路。

算法与速度：2020 年的早期样本中同时出现 AES-256 与 ChaCha 变体的痕迹，2021 年初仍有厂商按 AES-256 记录；2022 年 1 月的更新版本已确认为「每文件一把 256 位 ChaCha 对称密钥」。无论哪一版，文件密钥都以受害者专属 RSA-4096 公钥封装，私钥从不落地。加密器通过 I/O 完成端口起最多 32 个并发工作线程，属最快一档——从发现异常到全盘被覆盖，窗口常常只有几十分钟。

加密范围可调：加密器接受命令行参数，The DFIR Report 记录的实际投放命令为 -m -net -size 10 -nomutex -p \\主机名\C$，其中 -size 10 表示按比例只加密文件的一部分；更新版本还增加了 -safeboot / -disablesafeboot 等开关。是否部分加密取决于投放参数，不能默认所有文件都只被部分覆盖，必须实测。

恢复抑制：通过 vssadmin / WMI 删除卷影，停止最多 146 项安全、备份、数据库与邮件相关服务，并用 Windows 重启管理器释放文件句柄，使运行中的数据库文件也能被加密；2022 年 1 月起的版本还可重启进入带网络的安全模式以规避安全软件。

横向与虚拟化：沿同网段 SMB 445 端口连接其他主机并加密可写共享；公开研究亦记录了针对 VMware ESXi 宿主的 Linux 变种，可直接加密宿主上的虚拟机文件。数据在加密前已被外传，未付款则在 Conti News 分批公开。