RansomHub 勒索病毒解密与数据恢复

RansomHub 于 2024 年 2 月上线，CISA 公告指出其前身为 Cyclops 与 Knight（Trend Micro 将其运营方追踪为 Water Bakunawa）。它出现的时间点极具代表性：LockBit 刚被国际执法行动打击、ALPHV/BlackCat 正在酝酿退出骗局，大批熟练附属成员急需新平台。RansomHub 用对附属成员极为有利的分成比例（普遍报道为 90%）和「先收款、再分账」的模式迅速吸纳了这批人，其中就包括在 2024 年 2 月入侵 Change Healthcare、被 ALPHV 独吞赎金的那名附属成员——他带着数据副本转投 RansomHub，对同一受害者发起了二次勒索。

规模增长极快。CISA 于 2024 年 8 月发布 #StopRansomware 公告（AA24-242A）时，已记录至少 210 家受害组织，覆盖医疗、政府、供水、金融、关键制造等多个关键基础设施领域；其泄露站点累计声称的受害者总数达 800 家以上。2024 年下半年，RansomHub 一度是全球公布受害者最多的勒索团伙之一。

结局同样迅速。2025 年 3 月 31 日前后，RansomHub 的协商门户与泄露站点陆续离线，4 月 1 日全面中断；DragonForce 随即在 RAMP 论坛宣称 RansomHub「已加入我们的卡特尔」，并接管/篡改了其站点。Group-IB 等机构观察到大量附属成员迁入 Qilin——这正是 Qilin 从 2025 年二季度起攻击量翻倍、继而长期占据全球第一的直接原因之一。此后 RansomHub 未恢复运营，应视为已停摆。

对企业的现实含义有两层。其一，若历史上被 RansomHub 加密的数据仍未处理，现在没有任何可付款换密钥的对手方，只能走技术恢复。其二，也是更重要的一点：打你的那批人还在。RansomHub 的附属成员带着同样的手法迁到了 Qilin、DragonForce 等平台，其核心路径——Citrix/Fortinet/Confluence 等已知漏洞、无 MFA 的 VPN、密码喷洒、先毁备份再打虚拟化——今天依然是国内企业最需要堵的口子。

后缀特征：加密后文件追加一段随机 6 位大写字母/数字作为后缀（每个受害者或每次投放不同）。仅凭后缀无法定家族，必须与勒索信名对照。

勒索信：文件名形如 README_[与后缀相同的 6 位串].txt，散布于每个被加密的目录。「后缀串 = 勒索信名中的串」这一对应关系是识别 RansomHub 最可靠的依据，与 BlackCat 的 7 位串机制类似但位数不同。

勒索信内容特征：不留邮箱地址，只给 .onion 客户端门户链接与受害者专属 client ID；给出的数据公布期限通常在 3 到 90 天之间，由附属成员自行设定。

主机侧痕迹：

• 卷影副本被删除（vssadmin / wmic）；
• 出现 EDRKillShifter 类的 BYOVD 工具痕迹——加载易受攻击的签名驱动来终止 EDR，这是 RansomHub 附属成员的标志性工具；
• 常见 PsExec、AnyDesk、Atera、Splashtop 等远控与批量执行工具；
• 密码喷洒与暴力破解留下的大量失败登录记录。

平台特征：加密器由控制面板按平台生成，存在 Windows、Linux/NAS、ESXi、SFTP 等构建版本，因此同一事件中 Windows 主机、Linux 服务器、ESXi 虚拟机与 NAS 可能被同时命中。

时间线提示：RansomHub 于 2025 年 4 月初停摆。此后出现的「RansomHub 样」事件需重新判定家族，多为迁移后的附属成员在 Qilin、DragonForce 等平台下的行动。

RansomHub 附属成员来源复杂（大量来自 ALPHV 与 LockBit），手法覆盖面广，但 CISA 公告归纳的主线很清楚。

1. 已知漏洞的规模化利用。公告列出的包括：

• CVE-2023-3519（Citrix ADC/Gateway 远程代码执行）
• CVE-2023-27997、CVE-2020-12812（Fortinet FortiOS）
• CVE-2023-46604（Apache ActiveMQ）
• CVE-2023-22515（Atlassian Confluence）
• 以及 Zerologon、EternalBlue 等经典内网提权/横向漏洞。

2. 密码喷洒与凭据攻击。对邮箱、VPN、RDP 网关做密码喷洒，并使用从数据泄露中获取的账号——无 MFA 时这条路几乎零成本。

3. 钓鱼邮件。用于投递初始载荷或窃取凭据。

4. 初始访问经纪人。直接购买已建立的内网访问权限。

进入内网后的典型链条：

• 用 EDRKillShifter 等 BYOVD 工具终止 EDR，为后续动作清场；
• 用 Mimikatz 类工具抓取凭据、提权至域管；
• 枚举并优先破坏备份（备份服务器、备份存储、云同步），删除卷影副本；
• 用 Rclone 或云存储客户端外传数据；
• 从控制面板按平台生成加密器，通过 PsExec、计划任务或远控工具，在 Windows、Linux、ESXi 与 NAS 上同时投放。

需要强调：虽然 RansomHub 品牌已停摆，但上述路径被其附属成员完整带到了 Qilin、DragonForce 等平台。按这份清单做自查，防的其实是今天仍在活跃的攻击。

算法：以 Curve25519 椭圆曲线完成密钥协商，文件内容按平台使用 AES 或 ChaCha20 加密。相较传统 RSA 方案，Curve25519 的密钥更短、运算更快，这也是 RansomHub 加密速度快的原因之一。密钥材料只能由攻击者私钥还原，无公开可利用缺陷。

间歇加密：CISA 公告明确记录 RansomHub 采用间歇加密——按块处理文件并跳过部分区段，以最短时间覆盖最多主机。对大文件（vmdk、数据库数据文件、归档包）而言，这意味着相当比例的原始数据未被覆盖，是后续恢复的主要空间。具体跳过比例随构建参数变化，必须逐例实测。

多平台构建：加密器由控制面板按需生成，存在 Windows、Linux/NAS、ESXi、SFTP 等版本，命令行参数与功能各不相同。实践中常见的后果是：一次事件里 Windows 域、Linux 应用服务器、ESXi 虚拟机与 NAS 共享几乎同时被加密，恢复时必须同时处理多个技术栈。

破坏动作：

• 删除卷影副本（vssadmin / wmic）；
• 优先定位并破坏备份服务器与备份存储；
• 用 BYOVD 方式（如 EDRKillShifter）终止 EDR；
• 停止数据库与备份代理服务。

双重勒索与期限：先外传后加密，勒索信中的数据公布期限由附属成员设定，通常 3–90 天，逾期在 .onion 泄露站点公布。注意：该泄露站点与协商门户自 2025 年 4 月起已不可用。