DireWolf 勒索病毒解密与数据恢复

DireWolf（公开报告中多写作 Dire Wolf）于 2025 年 5 月由 Trustwave SpiderLabs 首次公开披露，泄露站最早一批受害者在 2025 年 5 月下旬集中放出，部分记录的实际攻击时间可回溯至 2025 年 4 月。该团伙自称「纯粹以获利为目的、不持任何政治立场」，加密器用 Go 语言编写并经 UPX 加壳，属于典型的人工操作（human-operated）勒索：先入侵、踩点、外传数据，再在全网集中投放。

与 LockBit、Qilin 那类广招附属成员的 RaaS 不同，公开分析普遍认为 DireWolf 由一个规模不大的核心团队直接运营，没有公开的附属招募渠道。每次投放的加密器都针对具体受害者定制——勒索信里的聊天室 ID、用户名与密码是硬编码在样本内的，说明投放前已完成人工的目标识别与打包环节。单起事件的赎金要价可达 50 万美元量级。

从 2025 年的十余家受害者，到 2026 年 9 月泄露站累计点名超过 130 家、覆盖十余个国家和地区（各追踪平台统计口径不同，同期计数存在差异），DireWolf 在一年多时间里完成了从新晋团伙到泄露站常客的转变。行业上以医疗、专业服务、科技、制造与金融为主；地域上除美国、巴西外，在马来西亚、泰国、新加坡、中国台湾地区等亚太国家和地区的占比明显偏高。目前没有公开报告确认其对中国大陆机构发起定向攻击，但对在东南亚设有生产基地或分支机构的中国企业而言，其攻击面与自身海外业务高度重合。

需要如实说明的是：DireWolf 的初始入侵方式至今没有被任何一份公开报告完整证实，各家厂商给出的均为基于受害者复盘的推测性结论。

后缀：加密后文件在原名后追加 .direwolf，例如 报表.xlsx 变为 报表.xlsx.direwolf。文件名主体不改写、不随机化，全网统一使用同一后缀，不按受害者分配。

勒索信：受影响目录下生成 HowToRecoveryFiles.txt，英文正文，告知网络已被入侵、关键数据已被窃取且文件已被加密，给出一个有限的「不公开」窗口期（公开报告未统一记载具体天数，以实际收到的勒索信为准），并附上该受害者专属的聊天室 roomID、用户名与密码，以及一个 qTox ID。通常还会给出 gofile.io 一类免费网盘链接，用于展示已窃取文件的样本包作为凭证。

主机侧痕迹：

• 互斥体 Global\direwolfAppMutex，用于避免重复执行；
• 加密完成后在 C 盘根目录落下名为 runfinish.exe 的标记文件；
• Application、System、Security、Setup 四类事件日志被 wevtutil 清空；
• Windows 事件日志服务被终止，约 75 个硬编码服务与约 59 个进程（安全软件、数据库、办公套件）被批量结束；
• 加密器执行完毕后自删除，排查时原始样本往往已不在盘上。

排除范围（对判定与恢复都有意义）：不加密 AppData、Windows、Program Files、$Recycle.Bin、System Volume Information 等目录，不加密 bootmgr、ntldr、NTUSER.DAT，也跳过 .exe、.dll、.sys、.drv、.iso、.img 等扩展名。因此系统仍能正常启动、桌面看起来正常，只是业务文件打不开——这恰恰是许多企业延误上报、继续开机使用而破坏现场的原因。

判定要点：.direwolf 后缀 + HowToRecoveryFiles.txt 基本可确认家族。但恢复方案取决于具体文件大小分布与被加密区域，必须取实际样本分析，不能只凭后缀下结论。

DireWolf 的初始入侵环节至今没有被任何一份公开报告完整证实，这是该家族最主要的情报空白。以下为多家厂商基于受害者复盘给出的推测性结论，应作为排查方向而非既定事实：

• 定向钓鱼邮件，携带恶意附件或链接；
• 暴露在公网的 VPN、RDP 与远程访问设备被利用（注意：至今没有任何公开报告把该家族与具体厂商产品或具体 CVE 编号对应起来，有厂商明确表示未见有据可查的漏洞利用记录）；
• 有效凭据登录（RDP、VPN、远程管理工具账号），凭据来源包括撞库、信息窃取木马日志与暗网采购；
• 第三方服务商与供应链侧的间接入侵。

入侵之后的动作则相对清晰。攻击者使用 PowerShell、WMI、PsExec 等系统自带工具（living-off-the-land）完成内网测绘、凭据获取与横向移动，在网络内的停留时间可达数天以上（公开分析未给出统一数值），于加密前集中完成数据外传，再选择业务低谷期一次性向多台主机投放加密器。由于加密器内硬编码了受害者专属的聊天室凭据，投放前必然存在一个由人工完成的定制打包环节——这意味着从踩点到投放之间，防守方存在可观的检测窗口。

对国内企业的实际意义在于：该团伙依赖的不是零日漏洞，而是常规薄弱点——未启用多因素认证的 VPN 与远程桌面、长期未更新的边界设备、与域凭据共用的备份控制台、可被随意安装的远程管理工具。这些恰恰是排查和加固时投入产出比最高的位置。

算法：Curve25519 椭圆曲线密钥交换（样本内硬编码攻击者公钥）配合 ChaCha20 流加密，共享密钥经 SHA-256 派生出实际使用的密钥与 nonce，每个文件使用独立会话密钥。公开逆向未发现实现缺陷，在没有攻击者私钥的前提下无法逆推。

部分加密（本家族最关键的技术特征）：小于 1 MB 的文件被完整加密；超过 1 MB 的文件只加密开头的 1 MB，其余部分原样保留。这个设计是为了提速，但它同时意味着：文件头部的元数据、数据库引导页、虚拟磁盘描述符与分区结构被彻底破坏，而大文件的主体数据往往完好无损。不同类型数据的恢复前景因此出现明显分层——这是制定恢复方案时必须先量化的一条。

破坏恢复能力：

• 以 vssadmin delete shadows /all /quiet 删除全部卷影副本；
• 通过 wbadmin 删除 Windows 备份、用 bcdedit 关闭系统恢复选项；
• 终止约 75 个硬编码服务，涵盖 Sophos、Symantec、奇虎 360 等安全产品，以及 SQLServerAgent、MSExchangeIS、VeeamTransportSvc、BackupExecJobEngine 等数据库与备份服务，目的是释放被独占打开的数据库与邮件文件以便加密；
• 结束约 59 个进程（数据库客户端、办公套件等），清空事件日志，执行完成后自删除。

平台：截至 2026 年 9 月，公开分析只观察到 Windows 64 位加密器，有厂商明确表示未发现 Linux 或 ESXi 版本。这属于点时判断，若团伙后续推出 Linux/ESXi 加密器，下述评估结论需立即重估。因此虚拟化环境中的损失通常来自「虚拟机内部的文件被加密」，而不是宿主机数据存储被整体锁定——这一点在恢复评估时价值极大，务必在第一时间核实。

双重勒索：加密前完成数据外传，勒索信内以免费网盘链接展示样本包作为凭证；未付款则在 Tor 泄露站分批公开（公开报告未给出统一的放出间隔），并同步向受害者的客户与合作方施压。外传数据量因事件而异，需以实际流量与日志核定，不宜按经验值预估。