GoodLock 勒索病毒解密与数据恢复

GoodLock 是一个在国内被安全厂商持续跟踪、但公开技术资料很少的 Windows 勒索病毒家族。可核实的时间线只有两个节点：安天实验室于 2025 年 9 月捕获样本，并在 2025 年 9 月 13 日的 AVL SDK 反病毒引擎升级通告中以检测名 Trojan/MSIL.Goodlock[Ransom] 公布其后缀与勒索信特征；此后 360 在《2026 年 6 月勒索软件流行态势分析》中，把 GoodLock 列为当月新增的传统勒索软件家族。

「传统」这一归类本身是有信息量的：360 把当月新增家族分成双重勒索与传统两类，GoodLock 被归入后者，即以加密索赎为主、没有配套的暗网泄露站。这与另一项核查结果一致——主流勒索团伙跟踪平台的团伙名录中并没有 GoodLock 条目。因此，与 LockBit、Qilin 这类会公开点名受害者的运营不同，GoodLock 的压力手段主要落在「数据不可用」上。

从检测命名 Trojan/MSIL.Goodlock 可知样本以 .NET（MSIL）编写。这类加密器通常构建门槛低、变种迭代快。作为对照，360 同一份月报中该月感染量前三的家族是 Weaxor（32.47%）、Sorry（17.75%）与 Wmansvcs（14.29%），被攻击最多的系统是 Windows 10、Windows Server 2008 与 Windows 7——GoodLock 远未进入这一量级。

需要特别说明的活跃度现状：我们逐月核对了 360 其后的两份月报——《2026 年 7 月勒索软件流行态势分析》（2026 年 8 月 13 日发布）与《2026 年 8 月勒索软件流行态势分析》（2026 年 9 月 8 日发布）——GoodLock 在这两份报告中均未再出现，既不在新增家族名单里，也不在按感染量排列的家族占比表中。需要审慎解读：360 的月报只点名新增家族与达到统计阈值的家族，未被点名不等于该家族已经停止活动，但也确实说明它在 2026 年 6 月之后没有留下新的公开可见记录。因此本页把它的生命周期标注为新兴（emerging）而非成熟活跃：可核实的公开踪迹只有一次月度上榜，样本量不足以支撑「持续流行」的判断。

需要如实说明：GoodLock 的公开信息有限。 其初始入侵方式、加密算法、是否删除卷影、是否具备 Linux/ESXi 加密能力、勒索信中的联系与付款方式，均无公开证实，本页不做补白式推测。

后缀：被加密文件在原文件名末尾追加 .goodLock（注意大小写混排，L 为大写），例如 config.ini 变为 config.ini.goodLock。后缀固定、不随机化，因此按后缀检索是可靠的初判手段。

勒索信：在桌面释放 ___RECOVER__FILES__.goodLock.txt。按安天通告的原文，下划线为「三 + RECOVER + 二 + FILES + 二」的排布。不要把下划线个数当作硬判据：各家通告与网页在转载时经常吞掉或合并连续下划线，我们自己在核对不同来源时就读到过不一致的写法。稳妥的检索方式是按 RECOVER、FILES、.goodLock.txt 这三段模式匹配，再以磁盘上的实际文件名为准。这个高辨识度的文件名仍是目前最可靠的判定依据——公开资料中未见其他家族使用同名文件。

目标文件类型（重要差异点）：安天对所分析样本的描述是，它遍历系统目录后加密扩展名为 ini、exe、lnk 的文件。这与多数勒索病毒优先加密文档、数据库、压缩包的行为明显不同。如果现场与该描述吻合，典型现象会是「文档看上去还在，但程序打不开、快捷方式全部失效、服务启动失败」，而不是常见的「文件全变成乱码后缀」。

判定要点与注意事项：

• 以勒索信文件名为主、后缀为辅做交叉确认，两者同时出现基本可锁定家族；
• 安天的描述来自特定样本，不等于该家族所有变种的完整加密清单，现场实际被加密的文件类型必须自行清点，不能照搬；
• 联系方式不作为判定依据——公开报告未记录其邮箱域名、Tox 或暗网门户；
• 由于样本为 .NET 编写，主机上常可见对应的托管代码进程与 .NET 运行时加载痕迹，可配合内存取证佐证。

公开报告尚未披露 GoodLock 的初始入侵方式与横向移动手法，我们不做臆测。安天通告中给出的是通用防护建议（强口令、及时补丁、关闭 3389/445/139/135 等高危端口、警惕可疑邮件附件与链接、限制 PowerShell、离线备份），属于面向所有勒索病毒的基线，不能反推为该家族已确认的攻击链。

可以作为排查参考的是同期国内态势：360 的 2026 年 6 月月报显示，当月主要家族的传播路径集中在中小企业常用软件的漏洞利用、组件身份验证漏洞与无文件攻击，以及远程桌面登录，被攻击系统里服务器与桌面 PC 大致各半，Windows Server 2008、Windows 7 等老旧版本占比很高。对国内企业而言，这几条仍是优先自查方向：

• 对公网暴露的远程桌面与运维入口，尤其是弱口令与未启用多因素认证的账号；
• 长期未打补丁的老旧 Windows 服务器与已停止支持的业务中间件；
• 邮件附件与伪装成常用软件、破解工具的下载源；
• 内网可直连备份存储、备份与生产共用同一套凭据的情况。

具体到某一起 GoodLock 事件，入口结论必须来自现场取证——日志、账号活动与落地文件，而不是照搬其他家族的假设。

GoodLock 的加密器没有公开的完整逆向分析，因此以下严格区分已证实与未证实两类。

已证实（来自安天对所捕获样本的描述）：

• 遍历用户操作系统的目录后实施加密；
• 对扩展名为 ini、exe、lnk 的文件加密并追加 .goodLock 后缀；
• 在桌面释放 ___RECOVER__FILES__.goodLock.txt 勒索信；
• 截至通告发布时无有效解密工具。

未证实：对称与非对称算法的具体组合、密钥生成与封装方式、是否采用间歇/分块加密、是否删除卷影副本与清理日志、是否终止数据库与备份进程、是否处理网络共享与映射盘、是否存在 Linux/ESXi 或 NAS 加密器。

这一区分直接影响恢复策略。加密目标清单尤其关键：如果现场确实只有 ini、exe、lnk 被加密，业务数据本体可能完好，重点会转向系统与应用可用性修复，而非数据抢救；如果实际加密范围更广（不同变种完全可能扩大目标类型），则需要按常规流程实测大文件的被覆盖区块，判断数据库与虚拟磁盘是否还有结构修复空间。这一步只能用现场真实加密文件测量，不能凭家族名下结论。