Makop 勒索病毒解密与数据恢复

Makop 于 2020 年 1 月由化名 Makop 的开发者在地下论坛推出，采用 RaaS 模式招募分支成员，此后衍生出 Oled、Mammon、Tomas、Harmagedon 等一系列同源变种。安全厂商对其归属存在分歧：部分研究把它描述为 Phobos 谱系的分支，但从载荷实现与运营主体看，它是一个独立运作的家族——这一点在处置中很重要，因为 Phobos 的官方解密工具对 Makop 无效。

国内情况：360 的 2025 年态势报告显示，Makop 在 1 月占比约 14.29%、3 月约 15.51%，全年多期位居国内前列，报告同时指出其「主要通过爆破远程桌面口令进行手工投毒，加密后文件后缀被修改为 mkp」。多家研究还记录到其分支成员使用 PowerShell 执行批处理脚本、用 NS.exe 扫描共享、用 Everything.exe 枚举文件，并以 BYOVD 手法关闭安全产品。受害者以中小企业服务器为主。

进入 2026 年后，其国内占比明显回落：360 2026 年 7、8 月月报的家族占比榜由 Weaxor（8 月 65.74%）、BrzCrypt、LockBit 主导，Makop 未再进入前列，但仍在 360 的活跃关键词监测名单内，个案应急中依然会遇到。

文件名格式是 Makop 的关键识别特征，形如：

原文件名.[8位ID].[攻击者邮箱].后缀

例如 order.xlsx.[A1B2C3D4].[xxx@cyberfear.com].mkp。

常见后缀：.makop、.mkp、.baseus、.tomas、.harmagedon、.oled、.mammon、.origami、.moloch 等。分支成员可以自选后缀，因此后缀列表很长且持续增加，遇到陌生后缀但文件名符合上述格式的，应优先考虑 Makop。

勒索信：readme-warning.txt（部分版本为 readme.txt），落盘在每个被加密目录与桌面。这是区分 Makop 与 Phobos、BeijingCrypt 的最直接依据——Phobos 用 info.txt + info.hta，BeijingCrypt 用 !RECOVER.txt / !HELP!.txt。

入侵与执行痕迹：

• 安全日志中集中的 RDP 登录失败（4625）后跟一次成功（4624，登录类型 10）；
• 主机上出现 NS.exe、Everything.exe 等扫描与枚举工具；
• PowerShell 下载执行批处理脚本的记录；
• 安全产品被异常驱动关闭（BYOVD 手法留下的驱动加载记录）；
• 数据库与备份服务被终止，卷影被删除。

RDP 弱口令爆破后手工投毒是 Makop 分支成员的主流手法。 多家厂商分析一致指出，其分支成员主要利用暴露在互联网上的远程桌面服务获取初始访问，甚至会从 RDP 登录界面读取用户名再针对性爆破。360 在国内态势报告中同样把「爆破远程桌面口令后手工投毒」列为该家族的主要传播方式；在 2026 年 7 月的月报中，360 把传播方式进一步表述为「通过暴力破解远程桌面口令与数据库口令，成功后手动投毒并进行内网渗透」——也就是说，对外暴露的数据库服务（SQL Server / MySQL 等）口令偏弱时，同样会成为初始入口。

典型攻击链：扫描公网 3389 端口收集目标；对 administrator 等账号跑暴力破解；登录后提权并用 BYOVD 等手法关闭安全产品；用 PowerShell 拉取并执行批处理脚本投放工具集；用 NS.exe 扫描内网共享、用 Everything.exe 枚举文件以确定高价值目标；通过共享与远程桌面分发载荷；最后终止数据库与备份服务、删除卷影并加密。

部分研究还记录到分支成员使用 GuLoader 等加载器，说明不同分支技术水平差异较大。对防守方而言结论一致：只要 3389 暴露且口令强度不足，这条链就会被走通。

Makop 使用对称算法加密文件内容（公开分析记录为 AES-256 级别）并用非对称算法保护对称密钥，每台受害主机的密钥材料独立，没有攻击者私钥无法在算法层面还原。

加密与破坏行为：加密前终止数据库、邮件与备份代理等进程和服务；加密范围覆盖本地磁盘、映射的网络驱动器与可访问的 SMB 共享，NAS 与文件服务器常一并中招；删除卷影副本与恢复点；数据库文件（.mdf、.ldf、.bak、.dbf、.ibd）是明确目标；把文件名改写为 原名.[8位ID].[邮箱].后缀，并在每个目录落盘 readme-warning.txt。

关于大文件的处理方式：公开资料未对各版本的大文件策略给出统一结论，不同分支使用的载荷版本也不同，因此必须实测——抽取数据库文件与大型压缩包，分析加密块的分布与步长，确认是部分加密还是全量加密，再判断结构级修复的可行性。平台以 Windows 为主。