Settra 勒索病毒解密与数据恢复

Settra（厂商文档中也写作 SETTRA）于 2026 年 6 月首次进入公众视野，泄露站第一批受害者集中在 6 月 26—28 日公开，可追溯的最早攻击时间约在同年 6 月初。团伙公开声称动机只是钱，不针对特定国家或行业，只挑防护薄弱、凭据管理松散的目标。

截至 2026 年 9 月初，其暗网泄露站累计点名受害者约 64 家，分布在 18 至 19 个国家，美国占比最高，德国、英国、加拿大次之，亚洲已出现台湾、韩国、新加坡的受害单位；行业分布各追踪源统计口径不一，科技、专业服务、制造、建筑、零售电商与医疗均居前列。2026 年 6 月 28 日，泄露站点名了台湾 PChome 集团的相关域名，文章以其支付业务为主题，是目前中文地区关注度最高的一起——具体涉及的主体、数据量与受影响用户数以当事企业与主管机关的公开说明为准，泄露站单方面声称的数字不应直接采信；8 月底又相继点名美国电信运营商 Zayo Group 与车队管理厂商 Zonar Systems。

必须如实说明：关于 Settra 的公开信息仍然有限。至今没有公开的、归属该团伙的加密器样本分析，加密后缀与勒索信文件名均无公开记录；各机构对其定性也不完全一致——事件响应厂商 MOXFIVE 在实战处置中描述其先窃密再加密系统，而 WatchGuard、Proven Data 等更倾向把它归为以数据曝光施压为主的「数据经纪型」团伙（WatchGuard 直接将其归类为 Data Broker，Proven Data 则表述为加密是否参与尚未经任何公开样本分析确认）。没有公开报告将 Settra 与既有家族或某次更名关联，规模上更像小团队甚至单人操作，而非成熟的 RaaS。本页只保留有公开来源支撑的内容。

没有可依赖的后缀特征。 截至目前，公开资料中没有记录 Settra 使用的加密后缀与勒索信文件名，因此不能靠「看后缀」来判定家族。如果有人仅凭后缀就断言是 Settra，请要求其提供样本依据。

可用于判定的实际线索：

• 谈判渠道为 Tox，勒索信或攻击者留言中给出一串 76 位十六进制 Tox ID，不提供邮箱；
• 团伙以 Settra 名义运营暗网泄露站，配套有独立的谈判聊天门户和多台 .onion 文件服务器；
• 泄露站发布风格极具辨识度：不是简短条目加下载链接，而是针对每个受害者撰写长篇「调查报道式」文章，逐段叙述入侵过程、内部数据内容，并附倒计时与营收估算，刻意放大声誉压力；
• 主机侧常见 Mesh Agent 远程管理端、被清空的 Windows 事件日志，以及 NetExec、PAExec、ProcDump、Mimikatz 等工具落地痕迹。

判定要点： 优先用泄露站点名、Tox 联系方式与主机侧工具链交叉印证，而不是单一指标。

Settra 的入侵路径高度依赖「现成凭据」，技术含量不高但成功率高：

• 失窃凭据与信息窃取木马日志：公开追踪统计中约一半的受害者此前已确认存在信息窃取木马（infostealer）感染，攻击者据此直接登录；
• VPN 账号与合法账户滥用：MOXFIVE 在实战处置中确认其使用被盗 VPN 凭据获得初始立足点，并以合法域账户横向移动；这是目前唯一有公开事件响应记录支撑的初始入口，钓鱼、漏洞利用等其他入口暂无公开证据；
• 内网侦察：NetExec（nxc）、Netscan 做资产与共享枚举；
• 凭据获取：ProcDump、Mimikatz 转储 LSASS；
• 横向移动与驻留：PAExec 远程执行，安装合法远程管理工具 Mesh Agent 作为长期通道；
• 对抗检测：使用名为 edr_blind 的工具并通过 BYOVD（自带易受攻击驱动，样本中为 STProcessMonitor_v114.sys）取得内核权限压制终端防护，随后手工清空 Windows 事件日志。

对国内企业的直接启示：没有开启多因素认证的 VPN、员工个人设备上的浏览器口令外泄、以及可被任意账户直连的管理端口，是这条链路上最容易被复用的三个缺口。

加密行为尚无公开分析。 没有归属 Settra 的加密器样本被公开逆向，因此算法、是否间歇加密、是否针对数据库或虚拟化平台、是否删除卷影副本，目前都无法给出可核实的结论。MITRE 映射中出现 T1486（Data Encrypted for Impact），部分事件响应记录也描述了系统被加密，但缺少可公开验证的样本支撑。

可以确认的是数据外传环节。 团伙在公开前完成大规模文件窃取，单个受害者的声称数据量从数十 GB 到 TB 级不等（数量均为团伙单方面声称，未经独立核实），外传经由 C2 与常见 Web 服务通道，泄露站按倒计时分阶段公开。

对处置的影响： 在样本分析完成前，不要基于对其他家族的经验假设「文件只加密了一部分、一定能修复」。加密范围、是否破坏备份、卷影是否被清，必须在现场逐项实测确认。