Phobos 勒索病毒解密与数据恢复

Phobos 于 2018 年底出现，与 Crysis/Dharma 在勒索信形态与运营手法上高度相似，随后以 RaaS 模式向分支成员出租，衍生出 Eking、Faust、Elbie、Eight、Devos、Backmydata、8Base 等大量「同源不同名」的变种。美国 CISA 在 2024 年 2 月发布了专门的 #StopRansomware 联合通告（AA24-060A），把它列为长期影响政府与中小企业的重点家族；美国检方在 2026 年 3 月运营者认罪时披露，该谱系从逾 1000 家机构勒索赎金超过 3900 万美元。

国内情况：Phobos 是国内解密求助量最大的家族之一。360 在 2025 年的多期态势报告中指出，「解密文件数最多」的家族即为 Phobos，感染量也稳定位居前列。原因很直接——它瞄准的是把 3389 端口直接暴露在公网、口令强度不足的中小企业服务器，这类资产在国内数量巨大。2025 年 7 月日本警察厅发布免费解密工具后，Phobos 成为少数「确有官方解密途径」的高发家族，但攻击活动并未停止。

文件名格式是 Phobos 最可靠的识别特征，形如：原文件名.原扩展名.id[8位卷序列号-4位数字].[攻击者邮箱].变种后缀，例如 report.xlsx.id[A1B2C3D4-3483].[xxx@onionmail.org].faust。早期版本用大写 ID 加 8 位字符，新版本改为小写 id 并在 8 位字符后追加 4 位固定数字。

常见变种后缀：.phobos、.eking、.faust、.elbie、.eight、.devos、.backmydata、.LIZARD、.2700、.help 等。后缀更换频繁，遇到陌生后缀但文件名符合上述格式的，基本可判为 Phobos 谱系。

勒索信：同时落盘 info.txt 与 info.hta，后者在加密完成后自动弹窗；一般给出两个匿名邮箱并要求附上 ID。

其他现象：数据库与备份服务被强行终止；卷影被删除；防火墙配置被修改以保持 RDP 可达；同网段多台服务器在相近时间被加密，说明攻击者已在内网手工横移。

RDP 弱口令爆破是绝对主流。 CISA 通告与多家厂商分析都指出，Phobos 分支成员的标准流程是：扫描互联网上开放的 3389 端口，用开源爆破工具跑常见用户名与口令字典，成功后用同一凭证或本地提权继续横向。国内案例中，「服务器直接映射 3389 到公网 + administrator 弱口令」几乎是固定剧本。

其他入口包括：钓鱼邮件投递加载器后由人工接管；VPN 与远程运维工具凭证泄露；数据库端口爆破（MS SQL、MySQL 等）后通过存储过程或组件执行命令；第三方运维与外包通道的共享账号缺乏审计。

进入内网后，攻击者常抓取凭证、用 SMB 共享与计划任务分发载荷，并主动搜索备份目录与 NAS 映射盘。Phobos 的横移深度通常不及 LockBit，但因为目标本身网络扁平、缺少分段，实际影响面往往覆盖整个业务网。

Phobos 使用 AES-256 加密文件内容，并用 RSA-1024 保护对称密钥；密钥材料按受害主机生成，不同主机之间不可通用。

分段加密策略是其重要技术特征：CISA 通告明确指出，小于 1.5MB 的文件做全量加密，大于 1.5MB 的文件只做部分加密，以提高整体加密速度。对恢复工作而言这是关键信息——SQL Server 的 .mdf、Oracle 的 .dbf、大型压缩包与虚拟磁盘这类远超 1.5MB 的文件，内部通常保留了可观比例的原始数据块。

破坏性与规避行为：删除卷影副本、关闭 Windows 恢复环境与自动修复；终止数据库、邮件、备份代理等进程与服务后再加密；修改防火墙规则保持攻击者的远程访问通道；加密范围包含本地磁盘、映射的网络驱动器与可访问的 SMB 共享，因此 NAS 与文件服务器常一并中招；加密后落盘 info.txt / info.hta 并弹窗。Phobos 主要针对 Windows，未见成熟的 Linux / ESXi 原生载荷。