REvil 勒索病毒解密与数据恢复

REvil（Ransomware Evil，又名 Sodinokibi、Sodin）于 2019 年 4 月首次被公开捕获，最早的案例是攻击者利用 Oracle WebLogic 反序列化漏洞 CVE-2019-2725 直接投放加密器。多家厂商（Sophos/Secureworks CTU、CrowdStrike、Unit 42）在字符串解码函数与 URL 构造逻辑上发现其与 GandCrab 高度同源，普遍认为 REvil 是 GandCrab「退休」后的延续，运营方被追踪为 GOLD SOUTHFIELD / PINCHY SPIDER。

它以勒索软件即服务（RaaS）模式运行：核心团队提供加密器、谈判门户与 Happy Blog 泄露站，附属成员负责入侵与投放并按比例分成。2020–2021 年是其巅峰期——律所 Grubman Shire Meiselas & Sacks 数据被窃、Acer 与苹果代工厂广达被索要 5000 万美元、2021 年 5 月 JBS 支付 1100 万美元、2021 年 7 月通过 Kaseya VSA 零日漏洞（CVE-2021-30116）一次性打穿数百家 MSP 的下游客户并开价 7000 万美元。Unit 42 统计其 2021 年上半年经手案例的平均赎金支付额约为 225 万美元。

Kaseya 事件引发了空前的外交与执法压力：2021 年 7 月 13 日 REvil 全部站点无预警下线；10 月多国联合行动接管其服务器；2022 年 1 月俄罗斯联邦安全局宣布抓捕并起诉团伙成员。此后 REvil 品牌再未真正复活——按公开泄露站跟踪库的记录，其最后一次发布受害者是 2022 年 11 月 28 日，累计约百家（各跟踪库口径不一，数字仅供参考），此后已沉寂三年以上。

法律清算仍在延续：2024 年 5 月，Kaseya 事件的直接执行者、乌克兰籍 Yaroslav Vasinskyi 在美国被判 13 年 7 个月并赔偿 1600 万美元；2024 年 10 月俄罗斯法院对四名成员判处四年以上刑期；2025 年 6 月该四人因羁押期折抵而获释。2026 年 4 月，德国联邦刑事警察局（BKA）公开指认两名俄罗斯籍人员为 GandCrab 与 REvil 的实际负责人。

对中国企业的现实意义：REvil 已不构成新增威胁，但仍会以三种形式出现在应急现场——历史遗留的加密数据（有机会免费解密）、借用其后缀与勒索信格式的仿冒样本，以及当年由 REvil 打通、至今未清理干净的入侵路径。

后缀：REvil 不使用固定后缀。每台受害主机会得到一个 5–10 位的随机字母数字后缀（如 report.xlsx 变成 report.xlsx.9781xsd4），同一台机器内所有加密文件后缀一致，不同主机之间不同。因此「按后缀搜索」在本家族上经常失效，必须结合勒索信判定。

勒索信：文件名由后缀拼接而成，公开分析中反复确认的形式是 [随机后缀]-HOW-TO-DECRYPT.txt（如 88f2947s-HOW-TO-DECRYPT.txt），文件名前半段与加密后缀完全一致。正文为英文，开头通常是「Your files are encrypted」之类的表述，给出一个受害者专属 key/UID、Tor 谈判门户地址，早期版本还会附带一个 clearnet 网关域名（如 decryptor.top）便于受害者访问。

桌面壁纸：这是最有辨识度的特征之一。REvil 会生成一张蓝色带颗粒噪点的纯色壁纸，居中白字提示「You are infected! Read [随机后缀]-HOW-TO-DECRYPT.txt!」——看到这张蓝底白字壁纸基本可以直接锁定家族。

系统侧痕迹：

• 卷影副本被删除，Windows 恢复环境被禁用；
• 注册表中留有会话公钥等配置痕迹；
• 部分样本以 -smode 参数触发安全模式重启后再加密，用于规避终端防护；
• ESXi 宿主上可见 esxcli 批量强杀虚拟机的痕迹，/vmfs/volumes 下的 vmdk 被加密。

判定要点：随机后缀 + HOW-TO-DECRYPT 勒索信 + 蓝色噪点壁纸，三者同时出现基本可确认 REvil。但能否免费解密取决于加密时间与构建版本，不能仅凭这三点下结论；由于泄露与模仿，也存在外观一致而内核不同的仿冒样本。

REvil 是典型的「多路入口 + 附属成员各显神通」模式，不同附属的打法差异很大，公开分析中反复出现的入口有：

• 公网应用与边界设备漏洞：Oracle WebLogic CVE-2019-2725（最早的投放方式）、Pulse Secure VPN CVE-2019-11510（CISA 在「年度最常被利用漏洞」通告中明确点名 REvil 利用该漏洞）、Fortinet FortiOS CVE-2018-13379 等；
• 供应链攻击：2021 年 7 月通过 Kaseya VSA 零日漏洞 CVE-2021-30116，从 MSP 的远程管理平台向下游客户批量推送加密器——这是 REvil 最具破坏力的一次，也是国内企业最该警惕的模式（IT 外包与运维平台被打穿即全网沦陷）；
• RDP 暴露与弱口令爆破：获取合法凭据后直接登录内网；
• 钓鱼邮件与恶意文档：投递加载器后接入后渗透框架；
• 水坑与被入侵的软件分发渠道：早期曾借助被攻陷的正规站点分发；
• 横向移动与提权：凭据转储、PsExec / 计划任务 / GPO 批量投放，拿下域控后全域推送。

投放前，附属成员通常已完成数据外传与备份系统摸底，并选在周末或节假日夜间集中触发。对今天的企业而言，这条清单的价值不在于防 REvil，而在于这些入口至今仍被 LockBit、Akira、Qilin 等在用——当年没堵上的口子现在还在。

算法：文件内容用 Salsa20 流密码加密，每个文件一把独立密钥；密钥体系基于椭圆曲线（Curve25519/ECDH），每个文件生成独立密钥对，文件密钥由 ECDH 共享密钥经 SHA3-256 派生，相关公钥与配置随加密结果写入文件；会话私钥则用攻击者的公钥加密保存。在攻击者私钥未泄露的情况下无法从密文逆推——2021 年 9 月那把免费解密器之所以成立，正是因为执法行动使部分密钥材料落入合作方手中，而不是算法本身被攻破。

加密范围由构建配置决定，必须逐样本判定：REvil 的配置结构中带有「快速加密」开关（Kaspersky 对 Sodin 的分析中记为 fast / flag_fast），置位时只加密文件前段数据（上限约 1MB），未置位则对文件做完整加密。也就是说，同一家族的不同构建、甚至同一次事件中的不同批次，加密范围可能并不一致：既可能出现大文件仅头部被覆盖、结构修复尚有空间的情况，也可能是数据库文件（MDF/LDF、DBF、ibd）与虚拟磁盘（vmdk/vhdx）被完整覆盖。因此不要套用任何一种预设，应实际抽取加密文件比对密文分布（观察文件中段与尾部是否仍为明文结构），据此决定结构修复的可行性。

破坏恢复能力：执行 vssadmin.exe Delete Shadows /All /Quiet 删除卷影，并用 bcdedit 关闭恢复环境与启动失败策略（recoveryenabled No、bootstatuspolicy ignoreallfailures）；同时结束数据库、邮件、备份代理等占用文件的进程。

安全模式与规避：部分版本支持 -smode 参数，重启进入安全模式后再加密，以绕开未在安全模式下启动的终端防护。

Linux / ESXi / NAS：2021 年年中出现 ELF64 加密器（公开样本于 2021 年 6 月底被披露），默认 50 线程，支持 --path 指定路径与 -s 静默模式；运行时先用 esxcli 强制关闭全部虚拟机再加密 /vmfs 下的 vmdk，以避免文件被占用导致损坏，同时也针对 NAS 设备。

双重勒索：REvil 是双重勒索模式的早期推动者之一，加密前先外传数据，未付款则在 Happy Blog 分批公开并拍卖。