DragonForce 勒索病毒解密与数据恢复

DragonForce 最早于 2023 年 8 月出现，起步阶段直接使用泄露的 LockBit 3.0 构建器生成载荷，2024 年 6 月开放附属计划，7 月推出自研加密器（基于修改后的 Conti v3 源码），11 月出现针对 VMware ESXi 的 Linux 变种。

真正的转折点是 2025 年 3 月：DragonForce 宣布转型为「勒索卡特尔」，推出名为 RansomBay 的白牌服务——附属团伙可以用自己的品牌运营，加密器、谈判门户、泄露站托管与技术支持由 DragonForce 提供，附属按约 80/20 分成。这意味着受害者看到的勒索信品牌可能千差万别，底层却是同一套加密器和基础设施，给家族识别带来实际困难。

2025 年春季，DragonForce 因英国零售业连环攻击进入主流视野：Marks & Spencer、Co-op 与 Harrods 在数周内接连受创，公开分析认为由 Scattered Spider 一类以语音社工、服务台冒充和 MFA 疲劳攻击见长的英语系团伙负责初始访问，DragonForce 负责投放与勒索。这种「社工型初始访问 + 成熟加密器」的组合，绕开了传统以漏洞扫描为核心的防线。

活跃度方面，DragonForce 在 2026 年上半年仍保持每月约 28–30 家受害单位的发布节奏，累计受害者已达约 650 家，覆盖 65 个国家，行业集中在专业服务、制造与科技。目前没有公开报告确认其对中国大陆企业的定向攻击，但其偏好的入口——Ivanti、Log4j 一类边界漏洞，被入侵的 RMM 远程管理平台（供应链式扩散），以及暴露的 ESXi——在国内同样普遍存在，跨国企业的中国分支尤其需要关注。

后缀与文件名：自研加密器会把原文件名整体替换为随机 Base32 字符串并追加 .dragonforce_encrypted，例如 合同.pdf 变成 3krbgdxb.dragonforce_encrypted——原文件名不可从加密文件本身恢复，这对恢复后的业务归位影响很大。也观察到 .df_win 等后缀；早期基于 LockBit 3.0 构建器的版本则使用随机字符后缀。

勒索信：readme.txt（部分样本为 Contact Us.txt），落在桌面、各加密目录，常额外投放到 inetpub、wwwroot 等网站根目录，便于外部访问时也能看到。信中给出 Tor 门户与受害者专属 token，不提供邮箱。

卡特尔带来的识别难点：RansomBay 白牌下，勒索信可能署名完全陌生的品牌，泄露站也不同，但加密器行为、文件尾部结构与 ESXi 端命令特征一致。因此判定必须依赖样本分析而非品牌名。

其他迹象：Mimikatz、PsExec、OpenVAS 扫描痕迹、异常 SMB 流量、注册表与安全软件被篡改；ESXi 场景可见 /vmfs/volumes 下虚拟机文件被加密且宿主仍可启动（加密器有白名单以保住宿主可引导）。

DragonForce 的附属生态庞大，入口方式随附属而异，但公开分析反复出现以下几类：

• 边界设备漏洞利用：Ivanti Connect Secure 系列漏洞（CVE-2023-46805、CVE-2024-21887、CVE-2024-21893）、Apache Log4j2 等，用于直接拿下 DMZ 立足点；
• 社工型初始访问：与 Scattered Spider 一类团伙合作，通过冒充员工致电 IT 服务台重置密码、MFA 疲劳轰炸、SIM 交换等方式获取合法账号——这类入侵在日志上「看起来完全合法」，是英国零售业连环事件的关键；
• RMM 远程管理平台：利用 SimpleHelp 等 RMM 产品的漏洞进入服务商环境，再经其管理通道批量下发到下游客户，构成供应链式扩散，对 MSP 与集团 IT 共享平台威胁极大；
• 被窃凭据与 VPN：来自信息窃取木马与暗网市场的账号；
• 横向移动与提权：Mimikatz 凭据转储、PsExec、RDP、域管权限接管，优先拿下域控与虚拟化管理平台；
• 数据外传：在加密前完成，用于双重勒索与电话骚扰施压。

从国内视角看，最值得警惕的是后两条：集团型企业与制造企业普遍存在「IT 共享服务平台 + 大量远程运维工具」的结构，一旦管理通道被打穿，扩散速度远快于逐台入侵。

算法：自研加密器采用 ChaCha8 做文件内容加密，以 RSA-4096 保护每个文件的对称密钥；早期 LockBit 3.0 构建器版本则沿用 LockBit 的加密方案。两者都属于在没有攻击者私钥时无法逆推的设计。

速度优化：对大文件采用分块/间歇加密（配置参数中可见块大小与跳跃设置），以便在有限时间窗口内打完整个环境。对恢复而言，这意味着虚拟磁盘与数据库文件内部仍可能保留大段未被覆盖的数据，是结构化修复的主要依据，但可利用程度需按实际样本测定。

虚拟化：Linux/ESXi 变种直接针对 /vmfs/volumes 路径加密虚拟机文件，并保留系统目录、扩展名与文件名白名单以保证宿主仍可启动——攻击者故意让宿主活着，只让业务停摆，从而保留谈判通道。

破坏恢复能力：删除卷影副本、禁用启动时恢复选项、停止数据库与备份服务，尽可能加密可直连的备份存储与网络共享。

文件名随机化：原文件名被整体替换，恢复阶段需要依靠备份索引、数据库内部元数据或文件内容特征来重建目录结构。

双重勒索及以上：除加密与泄露外，DragonForce 生态还提供针对受害者的电话骚扰服务和数据分析服务，以提高施压效果。