NightSpire 勒索病毒解密与数据恢复

NightSpire 于 2025 年 2 月首次被观测到，同年 3 月暗网泄露站正式上线，是近两年增长最快的新兴双重勒索团伙之一。初期它以封闭自营模式运作——初始入侵、横向移动、数据外传到谈判施压全部由核心成员完成，不公开招募附属；2026 年 4 月，该团伙在泄露站公开招募附属成员，宣布转向勒索软件即服务（RaaS），这意味着后续攻击的手法会更分散、也更难预测。

Barracuda 在 2026 年 5 月的画像中判断，NightSpire 很可能是 2025 年初短暂出现的 Rbfs 勒索行动的换壳延续：代码并不相同，但人员与基础设施存在承接关系，公开可见的运营者代号为 xdragon128 与 cuteliyuan。研究人员同时指出其运营安全相当粗糙——泄露站目录可遍历、服务器主机名外泄、甚至用普通邮箱参与谈判，属于「手法凶悍但工程化程度不高」的一类团伙。

规模上它已不算小，但各家统计口径差异很大。ransomware.live 截至 2026 年 9 月记录其泄露站累计公开点名 320 余家单位、覆盖 53 个国家，Barracuda 在 2026 年 5 月的画像中给出 259 家；制造业占比最高，其次是科技、专业服务、医疗与零售，受害者最多的国家依次为美国、印度、土耳其、法国与中国台湾地区。需要并列说明的是，Halcyon 的判断与此明显不同：它认为该团伙在 2026 年二季度后活动显著衰减、年中已接近休眠，公开点名数量只有 25–30 家。本条目按泄露站仍有新条目发布采信「持续活跃」，但这一结论存在源冲突，读者不宜把任一数字当作定论。选择目标以外网暴露面大、安全基线薄弱的中小型组织为主，属于典型的机会型攻击，行业并不是筛选条件。

对国内企业的现实意义在于入口本身：Fortinet 边界设备的已知漏洞与弱口令 RDP，恰恰是制造企业和跨境分支机构最常见的暴露面。目前没有公开报告确认针对中国大陆的定向战役，但亚太地区受害者数量不低，海外子公司与外贸分支同样在其打击面内。

后缀：被加密文件在原文件名后追加 .nspire，例如 order.xlsx 变为 order.xlsx.nspire，文件名主体不改写、不随机化。

勒索信：每个含加密文件的目录都会落一份纯文本勒索信，已公开记录的文件名有三种——readme.txt（SonicWall、Proven Data 等记录的早期主流形式）、_nightspire_readme.txt（Huntress 记录的 2025 年 12 月样本）与 [nspire_msg].txt（Huntress 记录的 2026 年 3 月样本，方括号来自文字描述、未见样本截图直接核实）。信中包含受害者专属 UUID，部分样本还附带一串访问口令，用于登录暗网谈判门户；文案强调数据已被复制外传，并给出 48 小时左右的极短期限。

一个容易被漏掉的特征：勒索信会明确声称「OneDrive 中的文件同样已被加密」。NightSpire 对 OneDrive 同步目录中的文件不改后缀、不改图标，因此在资源管理器里看起来一切正常，实际内容已被覆盖。企业排查时若只按 .nspire 后缀统计受影响范围，会严重低估损失。

主机侧痕迹：加密器通常以普通可执行文件的形式由攻击者手工落地在用户可写目录（具体文件名按行动而变，不宜作为固定特征）；同一批行动中多次出现 Chrome 远程桌面、AnyDesk、Everything（voidtools）、7-Zip 与 MEGAsync 的安装记录，Huntress 分析的两起事件还出现了 VMware Workstation 与 WPS Office。由于加密器按行动重新编译（Huntress 对比 2025 年 12 月与 2026 年 3 月两个版本的哈希并不相同），不能只靠哈希做判定。

NightSpire 的入侵手法不依赖零日，全部落在「暴露面 + 凭据」这两件事上：

• 边界设备漏洞：360 与 Barracuda 均将 Fortinet FortiOS/FortiProxy 的身份验证绕过漏洞 CVE-2024-55591 列为其主要初始入口，利用后可直接取得超级管理员权限；
• RDP：弱口令爆破与撞库获取的 RDP 凭据是另一条高频路径，Huntress 分析的 2026 年 3 月事件即由被窃 RDP 凭据起手；
• 钓鱼邮件、MFA 疲劳攻击与 RMM 平台滥用：用于绕过已启用多因素认证的账号；
• 持久化：入侵后安装 Chrome 远程桌面与 AnyDesk 作为常驻通道，比自研后门更难被当成恶意软件拦截；
• 横向与资产测绘：一手事件分析中反复出现的是 Everything（voidtools）这类文件检索工具，用于快速定位高价值数据；凭据抓取与远程执行工具（如 Mimikatz、PsExec 一类）在公开汇总中被提及，但未在已公开的逐案分析中逐项确认，排查时应按「可能出现」而非「必然出现」对待；
• 数据外传：用 7-Zip 打成压缩包，再经 MEGA/MEGAsync、WinSCP 等渠道上传到云盘，为双重勒索备好筹码。

整体是明显的手工作业特征：攻击者在网内停留、逐台确认，再择机集中投放加密器。这也意味着日志里通常留有充足的可追溯痕迹。

加密器：Go 语言编写的单体可执行文件，静态链接、自带运行时。目前所有可查的一手事件分析（Huntress、SonicWall、Barracuda 等）记录的都是 Windows 样本；Halcyon 的画像称其 Linux 与 ESXi 变种「在开发中、尚未投入使用」，商业数据恢复站点关于「NightSpire ESXi 加密器」的说法则缺乏可信的技术复现。因此本条目只标注 Windows 平台，虚拟化环境的风险应按「理论可能、尚未证实」对待，不要据此推断已有成熟的 ESXi 加密器。

算法：公开分析描述为对称算法加密文件内容、RSA 封装文件密钥的常规混合结构，多家汇总记为 AES-256 + RSA-2048，另有分析提到样本中存在 RC4/XOR 一类的混淆处理。各家描述并不完全一致，且未见公开的完整逆向报告交叉验证，细节以实际样本实测为准。无论具体参数如何，在没有攻击者私钥的前提下都无法逆推。

分块加密是关键特征：NightSpire 采用速度优先的混合策略——对 iso、vhdx、vmdk、zip、bak、mdf 等大文件只做分块的部分加密，其余文件整体加密（分块步长未见权威公开数据，须按样本实测）。对企业而言这一点直接决定恢复路线：虚拟磁盘、数据库文件与备份归档中往往保留大量未被覆盖的原始区块，为结构化修复留出空间；而 Office 文档、图纸、源码这类小文件基本被完整覆盖，只能靠副本和备份。

卷影副本：与多数主流家族不同，公开事件分析中并未记录 NightSpire 系统性删除卷影副本或禁用 Windows 恢复环境——Huntress 注意到该团伙更依赖手工安装的第三方工具，而非其他勒索团伙惯用的系统自带删除命令。但这只是事件观察类结论、不是厂商逆向给出的普遍结论：攻击者仍可能手工清理，卷影也可能因写入被挤出。请把它当作「须现场验证的有利假设」而非家族属性，应急时第一时间检查 VSS 快照——这是该家族少见且价值很高的恢复窗口。

双重勒索：先外传后加密，拒付则在泄露站公开点名并分批放出数据。360 与 ransomware.live 均记录其施压手法以「极短期限 + 公开点名损害声誉」为主，谈判窗口短至两天。