LockBit 勒索病毒解密与数据恢复

LockBit 最早于 2019 年 9 月以「ABCD 勒索病毒」出现，2021 年推出 LockBit 2.0 与数据窃取工具 StealBit，2022 年 6 月发布 LockBit 3.0（又称 LockBit Black），连续数年占据全球勒索软件受害者数量首位。它是典型的 RaaS：核心团队开发载荷与洽谈平台，分支成员负责入侵并分成。

2024 年 2 月，英国国家犯罪调查局（NCA）联合美国 FBI 等机构开展「Cronos 行动」，查封其泄露站与 34 台服务器并获取大量解密密钥。组织声誉受损但并未消失：2025 年 9 月多家厂商确认新版本 LockBit 5.0（内部代号 ChuongDong）已投入实战，同时具备 Windows、Linux 与 ESXi 三套载荷。

国内情况：360 的 2025 年 10 月勒索软件态势报告中，LockBit 家族以约 8.96% 的占比位列国内第三。与国内「爆破后手工投毒」的小家族不同，LockBit 案例多为有组织的人工渗透：先取得边界资产或运维通道，再横向移动到域控与虚拟化平台，加密前窃取数据施加双重勒索压力。制造业、物流运输与建筑工程是国内常见受害对象。

加密后缀：早期版本用 .abcd、.lockbit；LockBit 3.0 改为 9 位随机字符后缀（每次投放不同）；LockBit 5.0 为 16 位随机字符。「后缀是一串毫无意义的随机字母数字」本身就是识别信号，不要因为搜不到后缀就判为未知家族。

勒索信：LockBit 2.0 为 Restore-My-Files.txt；3.0 为以 9 位随机字符开头的 README.txt（与后缀同源）；5.0 为 ReadMeForDecrypt.txt；Linux / ESXi 版本为 !!!-Restore-My-Files-!!! 形式。

其他特征：桌面壁纸被替换为 LockBit 提示页，文件图标被统一替换；加密后清除 Windows 事件日志；ESXi 主机上虚拟机被批量强制关机后 .vmdk、.vmx、.vmsn 被加密；勒索信不给邮箱，只引导到 Tor 洽谈门户并附受害者 ID，同时威胁在泄露站公开数据。

LockBit 分支成员的初始访问手法多样，国内案例中最常见的是四类：暴露在互联网的远程访问服务（RDP 弱口令或口令复用、VPN 账号泄露、未启用多因素认证的堡垒机）；边界设备与 Web 应用漏洞（VPN 网关、文件传输组件、邮件与办公系统的已公开漏洞，补丁滞后是主因）；从地下市场购买内网访问权限；钓鱼邮件投放 Cobalt Strike 等后渗透框架后由人工推进。

进入内网后的动作相当固定：抓取凭证、通过 SMB 与 PsExec/WMI 横向移动、拿下域控后用组策略批量分发载荷，同时定位备份服务器与虚拟化管理平台。虚拟化与备份是重点打击目标——先破坏备份再加密 ESXi 数据存储，可一次性瘫痪整个机房。加密前一般用 StealBit 或 Rclone 类工具外传数据。

LockBit 以加密速度快作为卖点：用 AES 加密文件内容，再用 RSA/椭圆曲线算法保护每个文件的对称密钥；每台受害主机的密钥材料相互独立。

间歇加密（partial / intermittent encryption） 是其关键行为——对大文件只加密部分数据块而非全文。后果有二：加密极快，往往几十分钟处理完整个文件服务器；同时大型数据库文件与虚拟磁盘中仍保留大量未被破坏的原始数据块，为结构级修复留下空间（能否利用取决于具体版本的加密步长与被破坏结构的位置，必须实测）。

破坏性行为：删除卷影副本并清空回收站；终止数据库、邮件、备份代理等进程与服务以加密被占用文件；关闭 Windows 恢复环境、禁用部分安全产品；加密后清除事件日志；Linux / ESXi 版本支持命令行指定目录与文件类型，先批量关闭虚拟机再加密数据存储。LockBit 5.0 还带有俄语系统规避与 DLL 反射加载等更强的混淆逻辑。