Space Bears 勒索病毒解密与数据恢复

公开信息有限：该品牌的泄露站活动有公开记录，但没有针对其加密器的独立逆向报告，技术细节需从 Phobos 谱系推断。

S-RM 披露：2024 年 4 月，一名隶属 Phobos 勒索软件即服务（RaaS）的 Faust 操作者启用了 Space Bears 泄露站，当时站上仅 8 家受害单位；该报告同时指出，此站是否会成为 Phobos 各团队共用的泄露站尚待观察。因此它是 Phobos 生态的施压品牌，而非全新加密器，辨识度主要来自企业风格的页面包装与付款后的所谓「保证」条款。

泄露站跟踪平台 ransomware.live 截至 2026 年 9 月记录约 156 家受害单位、覆盖约 45 个国家，行业集中于专业服务、科技、制造、医疗与零售，多为中小企业——该统计出自单一跟踪源，未经交叉验证。2025 年 2 月国际联合行动查封 8Base 泄露站、在泰国逮捕四名 Phobos 相关嫌疑人后，该站仍在更新，最近一批条目发布于 2026 年 9 月。

泄露站的声称不等于事实：2024 年底被挂出的一家欧洲大型 IT 服务商在 2025 年初公开否认自身基础设施被入侵，称涉事数据来自与其无关的第三方环境。中国大陆公开案例仍少，跟踪站点在 2026 年记录过涉及中国大陆企业的条目，此前也有港台地区企业被挂出，但同样只是攻击者单方面声称。

后缀：目前没有公开的 Space Bears 加密器逆向报告，下列特征来自其运营者所属的 Faust 变体。Fortinet 记录的 Faust 样本把原文件名完整保留在前，追加 .id[8位ID-4位版本].[联系邮箱].faust 形式的串；Cisco Talos 对 Phobos 各变体的对比也显示同一结构（id[受害者ID-构建号] + 邮箱 + 品牌后缀）。Phobos 各团队构建互不相同，实际案例中出现同谱系其他后缀属正常，须以样本为准。

勒索信：Faust 变体在加密目录中释放 info.txt，并投放弹窗式的 info.hta（由 mshta 调起，该行为亦见于 CISA 的 Phobos 通告），通常承诺免费解密几个小文件，并要求在短时限内回复。

判定要点：Space Bears 是品牌而非单一加密器，同品牌下样本构建可能不同。不能只凭后缀下结论，须结合加密文件末尾的元数据结构判定谱系与构建版本——这一步直接决定能否尝试公开解密工具。

Space Bears 附属成员沿用 Phobos 生态的手法。CISA 的 Phobos 联合通告（AA24-060A）列出两条主要入口：暴露在公网的远程桌面与口令爆破，以及钓鱼邮件投递 SmokeLoader 等加载器。

进入内网后：Cobalt Strike 建立控制通道，BloodHound／SharpHound 摸清域关系，Mimikatz 与 Remote Desktop PassView 收集凭据，再经远程桌面横向扩散；数据打包为 rar／zip，通过 WinSCP／FTP 或 Mega 类云存储外传。谈判渠道含邮件与 ICQ、Jabber、QQ。

近期跟踪还把边界设备与远程运维软件的已知漏洞列为可能入口，但与该品牌的直接关联尚无权威确认，应在取证中验证。

Cisco Talos 对 Phobos 系列的分析给出几个对恢复评估至关重要的结论：

• 算法与密钥：自实现的 AES-256，每个文件一把随机对称密钥，再用硬编码的 RSA-1024 公钥封装，连同元数据写在文件末尾；
• 共用同一把公钥：2019 年以来的上千个样本共用同一 RSA 公钥——这正是执法机关得以发布通用解密工具的前提；
• 按大小分层加密：小于约 1.5 MB 的文件被完整加密，更大的文件只在若干分布式区块上加密——这是数据库文件与虚拟磁盘仍留有修复空间的原因；
• 破坏与扩散：删除卷影副本、关闭系统恢复与备份、禁用防火墙；加密所有已连接逻辑盘并扫描内网共享，文件服务器与映射的 NAS 共享常被一并波及。

外传在加密之前完成，未付款则在泄露站分批公开或出售。