Lynx 勒索病毒解密与数据恢复

Lynx 于 2024 年 7 月出现，8 月在 RAMP 论坛以「silencer」的身份公开招募附属，迅速形成规模化的勒索软件即服务运营。Unit 42 通过二进制比对确认，Lynx 与 2023 年出现的 INC Ransom 存在约 48% 的整体函数重合、共有函数重合度达 70.8%，Linux/ESXi 变种重合度更高；结合 INC 源码在 2024 年被公开兜售的事实，业界普遍认为 Lynx 是购买或复用 INC 代码后的重新包装。

Lynx 的运营相当「产品化」。Group-IB 对其附属面板的分析显示，面板提供 News、Companies、Chats、Stuffers、Leaks 等模块，支持受害者档案管理、定制样本生成、谈判聊天与泄露排期，预置了覆盖 Windows、Linux（x86、ARM、MIPS、PPC 等架构）与 ESXi 的二进制，附属分成为 80/20（附属得 80%）。这种工业化程度让不具备开发能力的团伙也能高效攻击虚拟化环境。

受害者构成上，Lynx 早期集中于美国与英国的零售、房地产、建筑、金融与环境服务企业，2026 年初开始出现单日批量发布（1 月 5 日一次性公布 20 家），累计受害者超过 400 家，属于持续活跃的中上量级家族。

值得中国企业注意的一点是：Lynx 在其招募帖中明确声明「不在独联体国家、乌克兰、中国、伊朗、朝鲜开展业务」，也不攻击医疗、政府机构、教会与儿童慈善组织。这类声明不构成任何安全保证——附属成员未必遵守，且中国企业的海外实体与跨境业务系统并不在其自我设限范围内——但确实意味着目前没有 Lynx 定向攻击中国大陆企业的公开报告。

后缀：被加密文件追加 .LYNX（部分样本小写 .lynx），原文件名保留。

勒索信：目录中出现 README.txt，正文在样本中以 Base64 编码存放、运行时解出，内容为英文，声称已加密并窃取数据，提供多个 Tor 镜像地址与受害者专属登录凭据。

显著行为特征：

• 修改桌面壁纸为勒索提示；
• 向内网可达的打印机批量打印勒索信；部分早期样本尝试通过 Microsoft OneNote 打印报告；
• ESXi 场景下可见虚拟机被强制关闭、快照被删除。

与 INC 的区分：两者加密流程相近，但后缀（.LYNX vs .INC）、勒索信文件名（README.txt vs INC-README.txt/html）、泄露站与密钥体系均不同。由于代码同源，仅凭行为特征容易混淆，准确判定需要对加密文件尾部结构与二进制指纹做比对。

其他迹象：攻击前常见 RDP 登录异常、远控工具（AnyDesk 等）安装、凭据转储工具运行，以及打包与云上传工具在非运维主机上出现。

Lynx 采用 RaaS 模式，具体入侵手法随附属而异，公开案例中反复出现的路径包括：

• 有效凭据 + 远程访问：通过购买的凭据、信息窃取木马日志或口令爆破登录 RDP、VPN 与远程运维入口，是最主要的起点；
• 钓鱼邮件：投递加载器建立初始据点，随后拉取后续工具；
• 边界与应用漏洞利用：针对未及时修补的公网服务获取立足点；
• 横向移动：RDP、PsExec、WMI 与远控工具（AnyDesk 等）配合被窃域账号在内网扩散；
• 权限提升与防御削弱：凭据转储获取域管权限，关闭或卸载终端防护，清理日志；
• 虚拟化平台接管：拿到 vCenter/ESXi 管理凭据后直接在宿主层投放 Linux/ESXi 加密器，一次性瘫痪全部虚拟机；
• 数据外传：加密前完成，作为泄露施压筹码。

由于附属面板预置了覆盖多种架构的二进制，Lynx 附属在混合环境（Windows 域 + Linux 服务器 + ESXi 集群 + 各类嵌入式设备）中的打击面比多数家族更宽，这对国内制造业常见的「老旧 Linux 服务器 + 虚拟化集群」组合尤其不利。

算法：Windows 加密器使用 Curve25519 Donna 做椭圆曲线密钥协商，AES-128-CTR 加密文件内容，每个文件使用独立密钥。Linux/ESXi 变种沿用同一套密码学设计。

加密模式：加密器提供四档可配置模式——fast（约 5%）、medium（约 15%）、slow（约 25%）与 entire（100%）。这一点对恢复评估至关重要：若附属选择了 fast 或 medium 模式，大型文件（数据库、虚拟磁盘、备份容器）中会有 75%–95% 的区块完全未被触碰，结构化修复的空间很大；若选择 entire 模式则基本没有修复余地。因此必须先实测加密覆盖比例，再判断恢复路径，不能一概而论。

命令行参数：支持指定加密目录、单个文件、排除路径与隐藏执行，附属可按环境精细控制。

虚拟化处理：Linux/ESXi 版本会强制终止运行中的虚拟机并删除虚拟机快照，再加密 /vmfs/volumes 下的虚拟机文件，确保加密完整且难以回滚。

破坏恢复能力：Windows 版本通过 DeviceIoControl 调用删除卷影副本，并尝试破坏备份分区驱动器。

双重勒索：数据在加密前外传，未付款则在泄露站分批公开，并配合壁纸、打印机等多渠道施压。