Play 勒索病毒解密与数据恢复

Play 勒索病毒（又称 PlayCrypt，赛门铁克把其运营方称为 Balloonfly）于 2022 年 6 月首次出现，得名于加密后统一追加的 .play 后缀和勒索信中仅有的一个单词。与 Akira、Qilin、RansomHub 这些开放招募的 RaaS 不同，CISA 判断 Play 是一个封闭团伙——不公开招附属成员，工具与基础设施自持，这使其内部手法长期保持高度一致，也让「按家族画像做处置」在 Play 身上格外有效。

CISA、FBI 与澳大利亚 ACSC 于 2023 年 12 月发布 #StopRansomware 联合公告（AA23-352A），并在 2025 年 6 月 4 日更新，指出截至 2025 年 5 月已有约 900 家组织受害，覆盖北美、南美与欧洲的企业与关键基础设施，其中拉美地区的政府与警务网络受害尤为突出。2024 年 4 月，Play 一度是当月全球受害者数量最多的勒索团伙；进入 2026 年，Play 仍在活跃家族名单之列。

技术上有两点值得国内企业注意。第一是逐受害者重新编译：Play 为每次攻击单独构建加密器，样本哈希唯一，基于哈希的黑名单和「有杀软就安全」的预期都会失效。第二是完整的 ESXi 能力：2024 年 7 月 Trend Micro 披露其 Linux 变种专门针对 VMware ESXi，用 AES-256 加密 .vmdk、.vmem、.vmsd、.vmsn、.vmx、.vswp、.nvram 等文件，并在 /vmfs/volumes 下投放勒索信——与国内制造业、医院大量使用的虚拟化集中承载方式正面冲突。

在施压方式上，Play 有一个鲜明特征：部分受害者会接到攻击者的电话，直接威胁公开数据。这种线下施压叠加双重勒索，往往在企业尚未完成技术评估时就形成决策压力，因此提前明确「不支付、不自行接触」的处置原则尤其重要。

后缀特征：加密后文件统一追加 .play（部分样本显示为大写 .PLAY），且不保留原扩展名格式变化——这是 Play 最直观的标志。

勒索信：文件名 ReadMe.txt，典型位置是 C:\Users\Public\Music（而非每个目录散布），内容极简，通常只有一个单词「PLAY」加一个 @gmx.de 或 @web[.]de 邮箱地址，每个受害者分配的地址不同。这种「德国免费邮箱 + 极简文本」的组合与其他家族区别明显。

主机侧痕迹：

• 每次攻击的加密器单独重新编译，样本哈希唯一，不要指望用哈希匹配识别。
• 常见工具链痕迹：Cobalt Strike、SystemBC（代理/持久化）、PsExec、AdFind、Mimikatz、WinRAR、WinSCP。
• 使用 GMER、IOBit、PowerTool 类工具关闭安全软件；使用自研信息窃取工具 Grixba 枚举安全产品、备份软件与远控软件。
• 卷影副本被删除；域内出现批量执行痕迹（GPO / PsExec / 计划任务）。

虚拟化痕迹：ESXi 上虚拟机集体离线，.vmdk/.vmem/.vmsn 等被加密，/vmfs/volumes 与 ESXi 根目录出现勒索信，部分案例中 ESXi 登录界面被修改显示勒索提示。

线下信号：员工或高管接到自称攻击方的电话或语音留言，威胁公开数据——这在 Play 案例中出现频率明显高于其他家族。

Play 的入口高度依赖对外暴露的边界设备与远程接入，而且长期集中在几个已知漏洞上，这对防守方其实是好消息——自查清单相对明确。

1. FortiOS 漏洞：CVE-2018-13379（路径穿越泄露凭据）、CVE-2020-12812（SSL VPN 二次验证绕过）。这两个漏洞公布多年仍被反复利用，说明大量设备未升级。

2. Microsoft Exchange ProxyNotShell：CVE-2022-41040 与 CVE-2022-41082 组合利用，直接在 Exchange 上落地。

3. 远程支持软件漏洞：CISA 2025 年更新公告加入了 SimpleHelp 的 CVE-2024-57727，Play 借此通过 MSP/运维通道进入下游企业。

4. RDP 与 VPN 的有效账号：直接用泄露或爆破得到的凭据登录，无 MFA 时几乎没有阻力。

进入内网后的动作链条稳定：

• 用 AdFind 做域枚举、Grixba 清点安全与备份软件、Mimikatz 抓取凭据；
• 部署 Cobalt Strike 与 SystemBC 建立持久化与代理通道；
• 用 GMER/IOBit/PowerTool 关闭杀软与 EDR；
• 用 WinRAR 打包、WinSCP 外传数据，完成双重勒索的准备；
• 通过 PsExec、GPO 或计划任务在全域批量投放单独编译的加密器，同时对 ESXi 投放 Linux 变种。

因为工具链固定，针对 SystemBC、Grixba、GMER 加载与 WinSCP 大流量外传建立检测规则，往往能在加密前就发现 Play 的活动。

算法：AES 与 RSA 的混合方案——文件数据用 AES 加密，AES 密钥用攻击者 RSA 公钥封装后随文件保存。ESXi 变种使用 AES-256 处理虚拟机文件。

间歇加密：CISA 公告明确记录，Play 采用间歇加密，按 0x100000 字节（1 MB）为单位处理文件并跳过系统文件。这意味着对大文件——尤其是 vmdk、数据库 mdf/ndf/dbf/ibd、归档包——只有部分数据块被 AES 覆盖，其余仍是可用的原始数据。这是 Play 能在短时间内打完整个域和虚拟化集群的原因，也是 .play 后缀文件恢复中最实际的突破口。具体覆盖比例受版本与参数影响，必须逐例实测。

每个受害者单独编译：加密器为每次攻击重新构建，哈希唯一。这一点影响的是检测与溯源，不影响恢复方法本身。

破坏动作：

• 删除卷影副本；
• 停止数据库、备份代理与安全服务，必要时用 GMER/IOBit 类工具卸载防护；
• ESXi 上遍历 /vmfs/volumes 加密虚拟机文件（.vmdk、.vmem、.vmsd、.vmsn、.vmx、.vmxf、.vswp、.vmss、.nvram、.vmtx、.log），并在根目录与卷目录写入勒索信；
• 清理部分日志痕迹。

双重勒索：先用 WinRAR 打包、WinSCP 外传，再加密；未付款者被挂上泄露站点，同时辅以电话施压。