MetaEncryptor 勒索病毒解密与数据恢复

MetaEncryptor 的泄露站据 BleepingComputer 记载于 2022 年 8 月上线，到 2023 年 7 月累计挂出 12 家受害者后停止更新。2023 年 9 月出现的 LostTrust 使用了完全相同的站点模板与自我介绍，其加密器中带有 METAENCRYPTING 字符串，研究者 Stefano Favarato 与 MalwareHunterTeam 据此判定 LostTrust 是 MetaEncryptor 的马甲，两者均源自 SFile2 加密器。公开整理的家族谱系为：SFile（2020 年 2 月）→ SFile2 → MetaEncryptor（2022 年 8 月起）→ LostTrust（2023 年 9 月起）。需要注意的是，泄露站追踪平台把该团伙的首次出现标为 2023 年年中，那是这些平台开始抓取其站点的时间（最早一批 12 条受害者记录的抓取日期同为 2023-08-16），与站点实际上线时间并不是一回事。

与「更名后原品牌废弃」的常见剧本不同，MetaEncryptor 的泄露站在 2023 年 9 月之后仍在发布受害者：2023 年秋冬持续有新增，2024 年 5 月 7 日一天挂出 5 家，全年约 9 家；2025 年转为季度级的零星发布；2026 年 8 月 23 日与 9 月 7 日又分别集中出现 6 条与 4 条记录。这两批需要谨慎看待：其中一家早在 2026 年 3 月就已被另一追踪平台抓取到，另一条记录的帖子发布日期为 2025 年 11 月，说明「集中出现的日期」更接近追踪站恢复抓取后的补录，而不等于同一天新增的攻击。ransomware.live 截至 2026-09-11 累计收录 42 条，国别以美国、德国、加拿大为主，行业集中在制造、汽车与运输、专业服务与教育，近两批中出现日本与新加坡企业。

这些条目均为团伙单方面声称，第三方证实有限：2026 年 9 月被点名的一家美国医疗器械厂商，早在同年 6 月就已被另一个勒索品牌挂出并因此面临集体诉讼，因此不能排除旧数据转挂或重复挂牌。本页不逐一列出受害企业名称，也不建议把泄露站帖子直接当作事实依据。

公开信息有限：截至 2026-09-11，没有主流安全厂商或 CERT 发布过 MetaEncryptor 品牌加密器的样本分析与 IOC，国内厂商也未见针对该品牌的专门报告（但其上游的 SFile 分支曾由国内厂商瑞星在 2021 年底披露 Linux 变种），因此本页只收录可核实的内容。团伙在站点自述为「一群自认在网络安全领域有至少 15 年经验的年轻人」，声称纯属商业行为、与政治和情报机构无关；同一套站点模板还写明每一起事件都会通知本地区所有可能的媒体（Sophos 在 2023 年 12 月关于勒索团伙与媒体的研究中记录了 LostTrust 站点的这句话）——媒体与舆论施压是其主要杠杆。目前没有公开记录显示 MetaEncryptor 品牌攻击中国大陆企业，但其上游 SFile 分支的 Linux / FreeBSD 变种曾主要针对中国境内机构，中资企业的海外子公司与分支同样处在打击面内。

MetaEncryptor 没有已公开记录的加密后缀与勒索信文件名，无法靠后缀比对识别。目前可用的判定信号主要在勒索侧：

• 企业名出现在 MetaEncryptor 泄露站（公开追踪站记录到两个 .onion 镜像）的帖子中，附声称的数据量与样本包；
• 联络渠道为站点公布的 Tox ID，而非邮箱；
• 站点话术强调「安全专家」身份、否认政治背景，并威胁通知地方媒体与在泄露论坛散布数据。

同源家族的特征可作比对参考，但不能直接套用：更名后的 LostTrust 使用 .losttrustencoded 后缀与 !LostTrustEncoded.txt 勒索信，更早的 SFile2 使用 .sfile2、.sfile3 与 !!FILES_ENCRYPTED.txt。若你的文件后缀与其中之一吻合，指向的是那一支，而不是当前 MetaEncryptor 品牌。

正确做法是保留 3–5 个加密样本、勒索信原件与相关日志，通过逆向与样本比对确认家族与版本。切勿仅凭「泄露站上看到公司名」就断定全网已被加密，也不要凭新闻标题对号入座——错误归因会直接导致错误的恢复方案。

没有权威报告完整披露 MetaEncryptor 的初始访问与横向移动链条。可核实的一条线索来自 HiSolutions 对 CSHARP-STREAMER 的研究：这款纯内存运行的 .NET 模块化 RAT（具备 TCP 中继内网跳板、PowerShell 执行、域用户枚举与 AMSI 绕过能力）出现在多个团伙的入侵事件中，研究者将 2023 年 8 月起 Metaencryptor 与 LostTrust 受害者数量的抬升与其使用关联起来，并推测由初始访问经纪人向不同勒索团伙分发访问权。这意味着入口很可能不是该团伙自研，而是买来的。

同源的 SFile / LostTrust 分支公开记载的常见入口为：暴露在公网且无多因素认证的 RDP、携带恶意附件的钓鱼邮件。结合受害者画像（中大型制造、专业服务、运输与医疗企业），建议按以下顺序排查，并把它当作排查优先级而非已证实的攻击链：

• 无 MFA 的 VPN、RDP、堡垒机等远程入口，以及边界设备的已知漏洞；
• 信息窃取木马泄露的凭据与被转售的初始访问权限；
• 内存型 RAT 与合法远程运维工具的滥用痕迹（进程注入、异常 PowerShell、内网中继连接）；
• 域内凭据扩散与备份系统、虚拟化管理口的可达性。

没有公开的 MetaEncryptor 加密器逆向分析，以下为同源分支（SFile2 / LostTrust）的公开记载，只能作为预期行为参考，须以实际样本实测为准：

• 采用对称与非对称算法组合加密文件内容，密钥材料不落地明文；
• 加密目标覆盖文档、数据库、图片、音视频、磁盘镜像与压缩包；
• 投放前后清理系统日志、删除卷影副本、结束数据库与安全相关进程，以阻断本机回滚；
• 勒索信以「限期内不联系即公开数据」施压，属先窃后加的双重勒索。

间歇加密与否未知：没有公开数据说明该家族是否只覆盖文件的部分区块。这一点直接决定大文件（数据库、虚拟磁盘、邮件库）是否存在结构化修复空间，必须在取证阶段实测被覆盖区块的位置与比例，不能按其他家族的经验套用。

平台：MetaEncryptor 品牌的公开样本以 Windows PE 为主，没有公开确认的 Linux / ESXi 加密器。但同一谱系并非只有 Windows——上游 SFile（Escal）分支在 2021 年底已出现 Linux 与 FreeBSD 变种，由国内厂商瑞星与 ESET 分别披露、MalwareHunterTeam 确认，且当时主要用于攻击中国境内机构。因此不要默认非 Windows 主机一定安全：若虚拟化平台或 Linux 服务器同样受影响，需单独取证确认是加密器所为，还是虚拟磁盘在宿主层被破坏。