Eclipse 勒索病毒解密与数据恢复

Eclipse 于 2026 年 8 月进入公开视野：威胁情报追踪平台在 8 月 11 日前后收录其泄露站（发布站与文件站两个 .onion，域名以 eclipse 开头），首批受害者于 8 月中旬公示。同期账号 EclipseSupport 在犯罪论坛招募附属成员，据报道入门费 300 美元、前若干单分成 90/10、其后 80/20，目标赎金不低于 7 万美元。

截至 2026 年 9 月 11 日，泄露站累计公示约 8 家受害单位（不同追踪平台计数略有出入），分布于新加坡、美国、印度与意大利，行业涉及酒店、航旅媒体、金融软件、工程制造、医药研发与法律服务；追踪平台标注约半数受害域名可与信息窃取木马的失陷数据关联。

公开信息有限：尚无厂商发布样本逆向报告，后缀、勒索信文件名与 IOC 均无公开记录，宣称的多平台能力未经独立验证。另需注意，Eclipse 是通用词，网上同名的安全工具、项目与账号与本勒索家族无关，检索时需按泄露站与联系方式核对。

没有公开的后缀与勒索信记录，不能靠后缀识别 Eclipse，只能依赖外围特征：

• 受害单位出现在 Eclipse 的 Tor 发布站，另有独立的文件站放置样本数据包；
• 勒索信指向 .onion 谈判地址；
• 联系渠道为 Session 账号 + Tox 账号 + PGP 公钥（该组合已被多个追踪平台记录）；
• 收款使用 Bitcoin 与 Monero 地址。

请保留勒索信原件与 3—5 个加密样本，由分析人员比对头尾标记、加密步长与字符串特征后定性。

可核实的入侵细节很少：

• 被窃凭据：约半数受害域名见于信息窃取木马的失陷数据，提示 VPN、远程桌面与 SaaS 凭据复用是主要入口；
• 附属成员模式：RaaS 下手法由各附属成员自定，不同案件的入口可能完全不同；
• 运营者宣称：域内自动横向移动、关闭防护与终止服务，均未被独立复核。

防守重点落在远程入口的多因素认证、已泄露凭据清理与域管理员账号收敛。

以下均为运营者的宣称，未经独立样本分析证实，处置以现场实测为准：

• 算法：ChaCha20 加密文件，密钥经 Kyber 抗量子封装分发；
• 代码与平台：Windows 载荷用 Rust 编写，Linux / NAS / ESXi / Nutanix 变种为 C++；
• 虚拟化与备份：含加密 Hyper-V 虚拟机与使 Veeam 备份失效的例程；
• 加密模式：速度优先与隐蔽优先两档，通常意味着存在间歇加密选项；
• 双重勒索：加密前外传数据，附属面板内置泄露站发布功能。

现场须实测：卷影、数据库与备份代理服务、虚拟磁盘覆盖区块与步长、NAS 快照——它们决定恢复路线。