Everest 勒索病毒解密与数据恢复

Everest 最早出现在 2020 年 12 月，2021 年 9 月起在暗网泄露站公开点名受害者，到 2026 年 9 月公开追踪站点累计收录约 400 家单位、覆盖数十个国家，是少数连续运营超过五年的勒索团伙。它不是 RaaS：没有对外招募附属成员的加盟计划，样本在 CIS 语言环境下直接退出，普遍被判定为俄语系封闭团伙。

其特殊之处是三条并行业务线：投放加密器勒索赎金；自 2021 年 11 月起倒卖企业网络访问权限；自 2023 年 10 月起公开招募企业内鬼、按数据价值分成。后两条意味着入口未必是技术入侵，也可能是一个被收买的内部账号。受害者中医疗占比最高，其次为科技与专业服务，随后是金融、政府、制造与航空；美国单一国家接近三成，美国医疗行业主管部门也曾发布过针对该团伙的专项威胁提示。

2025 年 4 月其泄露站被入侵篡改并短暂下线，数周内即恢复发布节奏。更值得注意的是业务重心向纯数据窃取倾斜：2025 年秋季它在泄露站声称掌握 Collins Aerospace 的 MUSE / vMUSE 值机系统数据，并将其与当年 9 月欧洲多个机场的值机中断相关联；2026 年 2 月又声称从数据存管服务商 Iron Mountain 取得大量数据。这类声明需独立核实——同期逆向分析显示加密器本体并不含外传代码，而勒索信仍写着「约 1TB 数据已被窃取」。

对中国企业而言，风险主要落在海外子公司、跨境分支与供应链环节：一个多年前泄露的历史凭据、一个没有多因素认证的远程入口、一个被收买的账号，都足以构成入口。

后缀与文件名：被加密文件在原名后追加 .everest（部分样本为大写 .EVEREST），文件名主体不改写。超过 10MB 的大文件是「原地改名 + 局部覆盖」，磁盘上不会出现新旧两份。

勒索信：EVERESTRANSOMWARE.txt（部分报告转写为 EVEREST LOCKER .txt，具体拼写以实际样本为准），投放到 C:\ProgramData、桌面及每个被遍历到的目录。正文以「Greetings from the Everest team」开头并硬编码受害单位名称，说明样本为该目标定制编译；联系方式给 Tox ID 与暗网页面。

主机侧旁证：壁纸被改写；SMBv1 与网络发现被重新启用；ProgramData 下出现记录 UNC 路径的文本文件；未挂载卷被强行分配盘符；防勒索工具 Raccine 的 IFEO 注册表项与计划任务被删除；卷影存储被压到 401MB；回收站被清空，安全、备份与数据库服务被停用。

易混淆项：2018 年的 Everbe / InsaneCrypt 系列同样用过 .EVEREST 后缀（形如 .[邮箱].EVEREST），与当前团伙无关，仅凭后缀下结论会选错恢复路线。

先确认是否真的被加密：Everest 相当一部分案例只窃密不投毒，只收到泄露站点名、文件却完好无损是正常现象，处置路径完全不同。

Everest 的入口以「合法凭据 + 暴露的远程入口」为主，技术门槛不高：

• 公网暴露且未启用多因素认证的 RDP，公开报告中列为首位入口；
• 存在漏洞或弱口令的 VPN 与公网应用，包括长期未下线的历史服务；
• 购买与复用凭据：初始访问经纪人、撞库，以及信息窃取木马日志中的历史账号。公开追踪数据显示，Everest 受害组织中约六成能在信息窃取木马日志里找到对应凭据；多起大型事件的进入点被追溯到数年前泄露、却始终未失效的遗留账号（含已停用业务遗留下来的文件传输类账号）；
• 钓鱼邮件投递加载器；
• 内鬼招募：自 2023 年 10 月起公开出价收买内部人员，绕过绝大多数边界与终端防护，只能靠最小权限与行为审计对抗。

横向移动有一个不常见动作：加密器解析本机 ARP 缓存取出近期通信过的 MAC 地址，向 UDP 7 / 9 端口发送 Wake-on-LAN 魔术包唤醒关机或休眠的主机，再枚举加密，「当晚关机就没事」的假设并不成立。

另需注意，经逆向的加密器本体中没有数据外传代码——窃取由更早阶段的其他工具完成，因此勒索信声称的窃取量与终端上的加密行为是两条独立证据链。

加密器形态：.NET Framework 4.0 程序，ConfuserEx 加壳，逐个受害者定制编译。

算法：代码声明 AES-256 与 RSA-4096，运行时降级为 AES-128-CBC，密钥种子用 RSA-1024 公钥封装；种子由 System.Random（以系统启动计数 Environment.TickCount 为种子）取 32 个可打印 ASCII 字符，再用固定 8 字节盐、1000 次迭代的 PBKDF2 派生密钥与 IV。密钥完全在本地生成、不依赖 C2，这一设计与 BlackByte 的 C# 变种高度相似，也是研究者推测两者代码关联的依据。

加密范围（对恢复最关键）：不超过 10MB 的文件全量加密；超过 10MB 的文件原地改名后只加密约 6 段不连续区域、不做填充。数据库文件、虚拟磁盘、邮件库与影像备份这类大文件因此常保留大量未被覆盖的原始数据，这是后续结构化修复的全部空间来源；小文件没有这条路。

破坏恢复能力：删除全部卷影并把卷影存储压到 401MB 强制清空、删除还原点、清空回收站、删除备份相关文件、停用安全与备份及数据库服务、关闭受控文件夹访问，并给自身进程加拒绝型 ACE。

地域与平台：检测到 CIS 语言环境即退出；公开分析仅覆盖 Windows，未见经确认的 Linux / ESXi 加密器，但域内 SMB 共享（含 NAS 共享目录）会被一并加密。泄露站带倒计时与分批公开机制。