SnowSoul 勒索病毒解密与数据恢复

SnowSoul 于 2025 年 9 月在国内突然活跃，360 数字安全集团同年 11 月公开样本分析并发布国内首个专用解密方案；此后一度沉寂，但 360 在 2026 年 7 月与 8 月的月报中连续记录到「仅在国内传播的 SnowSoul 家族变种恢复传播」。

该家族无暗网泄露站、无 RaaS 附属体系，360 将其归入「传统勒索软件」而非双重勒索，受害目标为境内企业、机构的服务器与个人终端。Malpedia 与 Maltiverse 另收录一组同名的数据勒索活动（2026 年初起，约 2000 美元，拒付即在黑客论坛公开数据）；Malpedia 该条目下未关联任何恶意软件家族，它与 360 跟踪的加密器是否出自同一团伙，公开材料无结论。

公开信息有限：勒索信文件名与正文、完整入侵链条均未公开披露。

后缀：360 月度关键词榜 2026 年 4 月出现 snowsoul、7 月出现 qinglong，均被 360 明确归属该家族；2025 年 11 月的原始样本则追加 5 位随机字符（数字与小写字母）的后缀，形如 report.xlsx.（5 位随机字符）——一手样本分析未给出具体样例。仅凭后缀不足以判定版本。

加密文件结构（最可靠判据）：前 8 字节为 AES-CBC 的 IV，尾部 344 字节为 RSA-2048 加密后再 Base64 编码的 AES 密钥块。

系统痕迹：任务管理器被注册表策略禁用，%AppData% 下出现自复制的可执行文件。

勒索信：确会释放，但 360 报告未给出文件名与正文；IOC 中的联系方式为一个 Discord 群组标识。

公开报告只给出两条入口，都指向「先拿下服务器、再手动投毒」：

• 软件 Web 漏洞利用：360 在 2026 年 4 月月报中记为「利用各类软件 Web 漏洞进行投毒」；
• 数据库口令暴力破解：7 月月报补充为「通过漏洞利用与暴力破解数据库口令，成功后手动投毒」——报告只写「数据库口令」，未点名具体数据库产品。

攻击者在加密前已具备交互式权限，排查必须回溯 Web 应用与数据库登录日志。公开材料中没有钓鱼、RDP 爆破或 ESXi/Linux 加密器的确证。

算法：AES-CBC 加密文件内容，AES 密钥由硬编码的 RSA-2048 公钥封装，覆盖 532 种常见文档与数据文件扩展名。

破坏恢复能力（最值得警惕之处）：

• 加密后用「?」覆盖原文件再删除，直接压缩底层碎片恢复的空间；
• bcdedit 关闭系统恢复模式，并删除全部卷影副本；
• 强制删除设备备份目录中的数据库文件，等同于重置备份目录；
• 停止占用目标文件的服务与进程，并通过注册表禁用任务管理器。

公开报告未提及间歇加密，不能默认大文件中留有完好区块。