Lamashtu 勒索病毒解密与数据恢复

Lamashtu 于 2026 年 4 月进入公开视野，名字取自美索不达米亚神话中的女妖：RansomLook 与 ransomware.live 分别在 4 月 12 日、13 日收录其泄露站，WatchGuard 记录的最早勒索时间线可回溯至 2026 年 3 月下旬。

公开信息有限。 截至 2026 年 9 月，其泄露站累计列名约 34 家受害单位、覆盖十余个国家，以马来西亚、法国、泰国、德国、墨西哥数量居前，另有印度、西班牙、意大利、新加坡、埃及、罗马尼亚、瑞典、加拿大、美国等地案例；行业以制造为首，其次为专业服务、农业与食品加工、零售电商与酒店。需要说明的是，早期报告中「法国约占 21%」之类的比例来自仅 14 家受害者时的快照，随样本扩大已不成立。

最关键的一点是它很可能并不真正加密：多家机构均未取得其加密载荷，可核实的行为只有入侵、外传与泄露站施压（其勒索信自称加密，但无样本佐证），故本站将其归为以窃密为主的勒索团伙。其最后一条列名停留在 2026 年 6 月 17 日，此后约三个月无新增受害者，但 .onion 站点仍可访问，因此标为「沉寂」而非「已消亡」。目前没有公开报告显示其攻击中国大陆机构，但受害者画像与国内制造、食品企业的东南亚分支高度重合。

没有已知的加密后缀，因此无法靠「文件打不开」来识别。多数受害者是被动得知：公司名字出现在其 Tor 泄露站上，或收到攻击者邮件与样本。

已知一份勒索信 WHAT_HAPPENED.readme.txt（由追踪平台收录）：文中自称文件已被加密并已窃取财务、员工与客户数据，给出 3 天联系、10 天公开的时限，并以 GDPR、CCPA/CPRA、HIPAA 罚款施压。注意信里没有给出加密后缀，公开来源也没有对应的加密器样本；因此见到这份勒索信不等于文件真被加密，须以现场实际情况为准。

泄露站与联系渠道特征是目前最可靠的判定依据：Tor 上的 Lamashtu Blog，以及一个域名不同的独立谈判入口；onionmail.org 匿名邮箱加 PGP 公钥。

环境侧需主动排查（不会自动告警）：共享目录异常批量读取、非常规目录生成大体积压缩包、经代理或多跳链路的持续大流量出网、远程账号在非工作时段登录。识别本质是外传取证而非样本分析——没有样本可取，只有日志可比对；若现场确有文件被加密，应按另一个加密型家族重新识别。

公开材料对 Lamashtu 初始访问方式的描述并不充分，需要区分「有依据」与「属推断」：

• 有依据：ATT&CK 映射集中在本地系统与网络共享的数据收集、经替代协议与 Web 服务外传、多跳代理回连；12 家可核实体量的受害者合计被称窃取 760GB 以上、单家最高约 250GB，说明攻击者有明确停留期。
• 属推断：研究方倾向认为入口是被窃凭据配合暴露在公网的 RDP 或 VPN 端点，钓鱼次之；相比之下，利用公网应用漏洞被认为可能性较低（其目标选择更像广泛扫描而非定向）。这些均无逐案证据，本站不作为结论。

更实用的判断来自受害者画像：中型制造、食品加工与专业服务机构，普遍存在无多因素认证的远程访问、文档高度集中的文件服务器与长期未收敛的共享权限。

这一节需要反向理解：目前没有证据表明 Lamashtu 真正具备加密能力。 独立分析指出，公开来源中找不到其加密器、加密后缀、钱包地址或可供逆向的样本，因此加密算法、间歇加密步长、删除卷影、ESXi 加密器等常规分析对象全部不适用。唯一的「加密」说法出自其勒索信自述（声称使用「军用级算法」），而追踪平台收录的 YARA 规则只是匹配勒索信文本中的组织名与 .onion 字样，并非针对加密器二进制的特征——这类规则的存在不能当作加密能力的证据。ATT&CK 映射也集中在数据收集、外传与 C2，而非加密影响类技术。

取代加密的是外传与曝光：数据先被打包外带，再在泄露站分阶段公开，并配合明确的时限（先加价、后公开）与合规罚款话术，让客户、监管与媒体替攻击者施压。

对企业的含义：业务不停机不等于损失小，主要代价来自合规责任、客户与监管压力、知识产权外流，以及泄露数据被二次用于精准钓鱼。