Crysis / Dharma 勒索病毒解密与数据恢复

Crysis（也写作 CrySiS）于 2016 年初出现，同年底衍生出 Dharma 分支，此后两者常被合称为 Crysis/Dharma 家族。它是最早规模化利用 RDP 弱口令爆破 的勒索家族之一，基本定义了此后国内「服务器 3389 暴露 → 爆破 → 手工投毒」这条攻击链的标准形态；后来的 Phobos 在勒索信形态与运营模式上与它高度相似，被广泛认为是其延续。

解密历史是这个家族最特别的地方。 2016 年底至 2017 年，Crysis 的多批主密钥被公开发布，安全厂商据此制作了免费解密工具，Kaspersky 的 RakhniDecryptor 至今仍支持 Crysis 第 2、3 代与部分 Dharma 早期变种。但 2017 年之后运营者更换密钥体系并推出 .cezar 家族，此后的所有变种都不再可解。360 的 2026 年 7、8 月月报显示，Crysis 家族在「使用解密大师求助的设备数」上仍位居第一，但月度新增感染量已被 Weaxor、BrzCrypt、Sorry 等新家族占据，Crysis 系后缀也不再出现在活跃关键词榜上——这个组合正说明存量受害者众多，且大量受害者遇到的是不可解的 .cezar 系变种。

文件名格式是判定的关键，典型形态为：原文件名.原扩展名.id-8位十六进制.[攻击者邮箱].后缀，例如 data.xlsx.id-A1B2C3D4.[xxx@example.com].bip。

常见后缀分两类：早期（可能可解）.dharma、.wallet、.onion、.zzzzz、.crysis；.cezar 家族（不可解）.cezar、.arena、.bip、.combo、.java、.harma、.adobe、.bkp 等，数量极多且持续增加。

勒索信：最典型的是 info.hta，加密完成后通过自启动项自动弹窗；桌面上另有 FILES ENCRYPTED.txt，部分变种使用 README.txt。

与相似家族的区分（直接影响能否用上免费工具）：Crysis/Dharma 是 .id-8位十六进制.[邮箱].后缀 + info.hta 与 FILES ENCRYPTED.txt；Phobos 是 .id[8位-4位].[邮箱].后缀 + info.txt 与 info.hta；Makop 是 .[8位ID].[邮箱].后缀 + readme-warning.txt；GlobeImposter 是成组后缀（4444/666）+ how_to_back_files.html。

RDP 弱口令爆破是 Crysis/Dharma 的标志性入口，这一点从 2016 年至今没有变过。典型攻击链：扫描互联网上开放 3389 端口的主机；对 administrator 等内置账号做暴力破解，或直接使用从地下市场购买的泄露凭证登录；登录成功后卸载或关闭安全软件、创建后门管理员账号；通过共享目录、映射盘或远程桌面把载荷分发到内网其他服务器；终止数据库、邮件与备份服务并删除卷影；最后执行加密，落盘 info.hta 与 FILES ENCRYPTED.txt，并设置自启动项让勒索信在每次登录时弹出。

其他记录到的入口包括钓鱼邮件附件（早期版本更常见）与伪装成正版软件安装包的分发。国内高发的原因与 Phobos 完全一致：大量中小企业为了远程办公把 3389 直接映射公网、管理员口令简单且长期不变；业务、数据库与备份部署在同一台主机；内网未做分段。这条链已经被走了近十年，至今依然有效。

Crysis/Dharma 使用 AES 加密文件内容，并用 RSA 保护对称密钥。2017 年之前的版本因密钥体系设计与主密钥泄露而可被解密；2017 年之后的 .cezar 家族更换了密钥体系，每台主机的密钥材料由攻击者私钥保护，不再存在通用解密可能。

加密与破坏行为：加密前终止数据库（SQL Server、MySQL、Oracle）、邮件与备份代理进程和服务；加密范围覆盖本地磁盘、映射的网络驱动器与可访问的 SMB 共享，NAS 与文件服务器常一并中招；通过 vssadmin 等方式删除卷影副本与恢复点；数据库与备份文件（.mdf、.ldf、.bak、.dbf、.ibd）是明确目标；设置注册表自启动项使 info.hta 在每次登录时自动弹出。

关于大文件处理方式：该家族变种跨度近十年，各代实现差异较大，公开资料未给出统一结论，必须实测——抽取 .mdf、.dbf、.ibd 与大型压缩包，分析加密块的分布与步长，确认是部分加密还是全量加密后再判断结构级修复是否可行。平台以 Windows 为主。