INC Ransom 勒索病毒解密与数据恢复

INC Ransom 于 2023 年 7 至 8 月首次出现，以多重勒索（加密 + 泄露 + 直接骚扰）方式运营，早期即以医疗、教育、工业制造和政府机构为主要目标，欧美受害者占绝大多数。其 Linux 变种最早在 2023 年 12 月被观察到，具备完整的 ESXi 支持。

2024 年是它的分水岭：一方面攻击量快速上升，英国国家医疗体系（NHS）多家机构与一家儿童医院先后受害，引发广泛关注；另一方面，有人在地下论坛以 30 万美元兜售 INC 的源码（含 Windows 与 Linux/ESXi 版本）。随后出现的 Lynx 勒索病毒被 Unit 42 证实与 INC 存在约 48% 的整体函数重合、共有函数重合度高达 70.8%，Linux/ESXi 变种的重合度更高——说明 Lynx 要么购买要么复用了 INC 的代码。

到 2026 年，INC 已经成长为最活跃的勒索组织之一：公开统计显示其泄露站累计声明受害者已超过 930 家，2026 年仍保持每月数十家的节奏，并被观察到大规模利用 SonicWall SMA 1000 系列漏洞获取初始访问。

对中国企业的参考价值在于其入口选择：INC 高度依赖边界设备漏洞（Citrix NetScaler 的 CVE-2023-3519 与 CVE-2023-4966「Citrix Bleed」、SonicWall SMA 系列等）和有效账号的 RDP 登录。国内大量制造业与医疗机构同样在用这几类设备做远程接入，且补丁周期普遍偏长，属于同一暴露面。目前没有公开报告确认 INC 对中国大陆企业的定向攻击。

后缀：被加密文件追加 .INC（部分样本为小写 .inc），原文件名保留，例如 台账.xlsx 变为 台账.xlsx.INC。加密文件尾部会附加特征签名块，是家族判定的可靠依据。

勒索信：目录中同时出现 INC-README.txt 与 INC-README.html 两份，英文，内含受害者专属 personal ID 与 Tor 门户地址，并以「数据已下载，72 小时内联系」施压。

打印机勒索信：INC 的标志性行为之一是把勒索信批量推送到内网可达的打印机与传真机，员工在早上开工时同时看到屏幕和纸质通知——这也是很多企业最早发现事件的方式。

其他迹象：

• 攻击前可见对 Citrix NetScaler、SonicWall SMA 等设备的异常访问与会话劫持；
• NETSCAN.EXE 扫描、AnyDesk 远控安装、PsExec 被改名（如 winupd）投放；
• SystemSettingsAdminFlows.exe 被用于篡改 Windows Defender 设置，自研 av.exe 结束 EDR 进程；
• MEGASync、Rclone、7-Zip/WinRAR 出现在非运维主机上，指示数据外传。

ESXi 场景：可见通过 esxcli / vim-cmd 批量关闭虚拟机后再加密 /vmfs/volumes 下文件。

INC Ransom 的入侵路径高度集中在边界设备与有效凭据，技术成熟且重复性强：

• 边界设备漏洞利用：Citrix NetScaler ADC/Gateway 的 CVE-2023-3519 与 CVE-2023-4966（Citrix Bleed，可劫持会话绕过 MFA）是其标志性入口；2026 年大规模利用 SonicWall SMA 1000 系列漏洞；
• 有效账号 + RDP：使用购买或窃取的凭据直接远程登录，绕开漏洞利用环节；
• 钓鱼邮件：投递加载器建立初始据点；
• 内网侦察：NETSCAN.EXE、内置命令与 AD 查询绘制网络与资产图；
• 横向移动：RDP、PsExec（改名投放）、AnyDesk 远控、WMI；
• 防御削弱：篡改 Defender 配置、用自研工具结束 EDR 进程、清理日志；
• 数据外传：MEGASync 与 Rclone 上传，7-Zip/WinRAR 打包，目标明确指向财务、人事、病历与设计资料；
• 收尾投放：常在拿下域控后经 GPO 或批量脚本统一投放，Windows 与 ESXi 同步执行。

由于 Citrix Bleed 类漏洞可以直接劫持已认证会话，MFA 在这条链上并不能兜底——这也是很多企业「明明开了双因素还是被打穿」的原因。

Windows 版本：使用 Salsa20 与 AES 做对称加密，配合 Curve25519 椭圆曲线完成密钥协商，每个文件独立密钥。支持命令行参数指定加密目录、单文件或加密强度模式，攻击者可按环境调节速度与彻底程度。

Linux / ESXi 版本：使用 X25519 ECDH 生成共享密钥，SHA-256 派生后以 AES-128-CTR 加密文件内容。ESXi 相关逻辑会先通过 vim-cmd 枚举并关闭虚拟机（可指定跳过某些 VM ID），避免文件锁导致加密不完整，再处理 /vmfs/volumes 下的 vmdk、vmx 等文件。

部分加密：为提高速度对大文件采用部分/间歇加密，具体比例随模式参数变化。这为数据库文件与虚拟磁盘保留了未被覆盖区域，是无解密工具情况下最主要的修复切入点，但可用程度必须实测。

破坏恢复能力：删除卷影副本、停止数据库与备份服务、清理事件日志；ESXi 侧会处理快照文件。

多重勒索：数据在加密前外传，未付款则分批公开；同时向受害者内部打印勒索信、并对相关方施加直接压力，属于典型的多重施压模式。