Panzer 勒索病毒解密与数据恢复

Panzer 的暗网泄露站于 2026 年 8 月 5 日首次被安全研究者观测到。与多数从零起步的新团伙不同，它开局即具备完整的附属成员控制台：据公开报道，其面板涵盖构建管理、逐受害者谈判聊天、集成的 BTC 开票、泄露发布管理与团队子账号。运营方采用「先申请后审核」的半开放 RaaS 模式，附属成员通过 Tox 提交申请并接受筛查，赎金按 80/20 分成（附属拿八成）。

受害者规模的口径在各监测平台之间并不一致：截至 2026 年 9 月 11 日，安全媒体报道多称首月 16–21 家、覆盖 11 个国家，RansomLook 记录到 18 条发布，Ransomware.live 则记录 25 家、覆盖 14 个国家与地区。差异既来自抓取周期，也来自对重复条目的处理方式，引用时应注明来源与日期。行业分布集中在政府与国防、制造、科技、农业食品与教育；地域上以欧洲（意大利、德国、西班牙、塞尔维亚、捷克、瑞士）与亚太（泰国、印尼、韩国）为主，另有尼日利亚、库拉索等欧亚之外的条目。上榜节奏在开站首月最密，随后有所回落。

必须如实说明：Panzer 的公开信息目前非常有限。已公开的分析基本来自对泄露站与招募页的观察，尚无经独立验证的样本、哈希与 IOC。目前也未见国内安全厂商发布针对该家族的专门报告，也没有点名中国大陆受害单位的公开记录；但其已挂出韩国、泰国、印尼企业，中国企业的海外子公司与跨境业务同样处在打击面内。泄露站挂名只是攻击方的单方面声称，不等同于取证结论。

加密后缀与勒索信文件名目前在公开渠道尚未被证实。截至 2026 年 9 月 11 日，没有任何公开研究给出 Panzer 的后缀或勒索信名称，网上流传的说法均缺乏样本佐证。因此不要仅凭后缀自行断定家族，误判会直接把恢复方案带偏。

可用于初步归因的线索：

• 勒索信或谈判入口指向以 pnzr 开头的 .onion 站点，并附带受害者专属 ID；
• ESXi 宿主上虚拟机批量掉线、/vmfs/volumes 下 vmdk 与 vmx 被改写（对应其对外宣称的 ESXi 构建）；
• 公司名出现在 Panzer 泄露站条目中，并附有攻击方声称的窃取数据量。

另需说明：卷影删除、启动修复关闭（vssadmin、wmic shadowcopy、bcdedit recoveryenabled）等破坏恢复的操作在勒索事件中十分常见，值得逐项排查，但目前没有任何公开证据把这些具体命令与 Panzer 绑定，不能据此反推家族。

准确判定必须取 3–5 个加密文件、勒索信原件与相关日志做样本级分析，由文件尾部结构、加密步长与配置残留反推构建版本。

先说清前提：已有公开研究明确表示，截至目前没有任何经独立验证的 Panzer 初始访问路径。下列描述属于基于 ATT&CK 映射与同类 RaaS 行为的评估，而非样本级确证，应按「值得优先排查」而非「已证实」对待：

• 暴露在公网、未强制多因素认证的 VPN 与边界网关设备，含对已知漏洞的利用；
• 可直连的 RDP 服务遭口令爆破与撞库，以及直接向初始访问经纪人采购凭据；
• 钓鱼邮件投递恶意文档；
• 远程运维（RMM）工具被滥用作为落地与横移通道。

同样属于评估性质的还有进入内网后的动作：凭据转储、内网端口扫描、借远程服务横向移动、安全工具被干扰、本地数据收集，以及经非常规协议外传数据。

驻留时间与外传时间窗目前没有可靠的公开数据：个别研究博客给出过具体天数与小时数，但未被第二个来源印证，也无样本或日志支撑，本页不予采信。实务上仍建议按「加密动作往往安排在周末、假期等业务低谷期」的通行规律安排值守与监测，并以本次事件自身的日志来确定真实时间线。

Panzer 对外宣传的构建覆盖 Windows、Linux、VMware ESXi 与 FreeBSD，并向附属成员提供 15 个以上可定制命令与反检测选项。ESXi 构建是最大风险点：打穿一台宿主即可一次性瘫痪其上全部虚拟机，对把 ERP、MES、OA 和数据库集中跑在虚拟化平台上的中型企业尤其致命，FreeBSD 支持则意味着部分存储与网络设备同样在射程内。

加密算法、密钥封装方式，以及是否对大文件采用间歇/部分加密，目前均无公开证实。 这一点直接影响恢复策略：不能想当然地假设数据库文件与虚拟磁盘一定保留可用区块，必须以实测为准。

同样需要说明：Panzer 是否删除卷影副本、关闭启动修复、停止数据库与备份代理服务，目前也没有公开证据——这些是同类家族的通行做法，应作为排查项而非既定结论。可以确认的是该家族采用双重勒索：先外传后加密，未付款即在泄露站分批公开数据并施加舆论与合规压力，这一点由其泄露站的实际发布行为佐证。