Wmansvcs 勒索病毒解密与数据恢复

Wmansvcs 于 2025 年 6 月首次出现，360 命名为 Win32/Ransom.Wmansvcs，国内更常按后缀称为「.wman 勒索病毒」。按 360 的说法，自现身以来其感染量长期位居国内前二，是 2025—2026 年国内处置量最大的家族之一。

该家族由 Rust 编写，基本只在国内传播，主要打击中小企业与政企单位的 Windows 服务器，ERP / MES、财务与数据库服务器、域控是高频目标。入口以 RDP 弱口令暴破为主，取得服务器权限后由人工直接投放加密器。Solar 应急响应团队把 Wman / .peng 归入其跟踪的 Rast Gang 勒索家族；奇安信威胁情报中心对 Rast 运营者另有报告，但该报告未点名 Wmansvcs，两者的精确谱系关系目前只有单一来源支撑。

2026 年 4 月 16 日 360 发文称攻破其加密实现并提供免费人工解密支持，同年 9 月 10 日 Solar 应急响应团队公开了可下载的 .wman / .peng 恢复工具。被破解后，团伙弃用 Wmansvcs 招牌改以 BrzCrypt（后缀先 .brz 后 .flex）作案；360 在 2026 年 7 月态势报告中依据相同的攻击基础设施与链路指纹确认两者同源，并明确团伙正是因为 Wmansvcs 被破解才改用新家族。该月榜单上已不见 Wmansvcs，取而代之的是 BrzCrypt。因此 Wmansvcs 现应按「已更名停用」理解：新发事件以 BrzCrypt 形态出现，存量 .wman / .peng 数据反而进入了可解密窗口期。

后缀：.peng 与 .wman 两个分支。部分样本把 13 位设备 ID 与攻击者邮箱直接写进文件名，形如 报表.xlsx.[[设备ID]].[[账号@邮箱域名]].wman。

勒索信：目录中出现 DECRYPTION_INFORMATION.html，内含受害者编号与邮件联系方式，不提供暗网谈判门户；桌面壁纸同时被改写为勒索提示。

其他迹象：

• 加密数据尾部带有固定长度的标识串，可用于区分分支与版本；
• 边界上 3389，以及 3306 / 1433 等数据库端口对公网开放，登录日志出现大量失败后突然成功的暴破特征；
• 事发前后可见凭据抓取（浏览器密码查看器、Mimikatz 类）与内网扫描、远程暴破类工具落地，与该团伙在 BrzCrypt 阶段被记录的工具集一致；
• 人工投放事件的常见伴随现象——新增管理员账号、安全软件被卸载或强制结束、卷影副本与日志被清理——在本家族现场也应逐项排查，但具体形态按事件而异。

判定要点：「.wman / .peng 后缀 + DECRYPTION_INFORMATION.html」基本可确认家族，但能否解密取决于本次投放的密钥使用方式，须取实际加密文件核验；并要与后继家族 BrzCrypt（.brz / .flex，勒索信为 information.html、密文尾部带 DATACORE 标记）严格区分，两者恢复路径完全不同。

• RDP 弱口令暴破：绝对主力入口。边界上暴露 3389 的服务器最先被拿下；3306 / 1433 等数据库端口同时对公网开放的环境风险更高。
• 人工投放：攻击者取得服务器权限后手工执行加密器，属长期定向投毒而非蠕虫式扩散，意味着中招前通常已被踩点多日。
• 凭据窃取与横向移动：用浏览器密码查看器、Mimikatz 类工具收集凭据，再配合内网扫描扩大战果。Solar 公开的一起 2026 年 5 月事件一次覆盖 15 台服务器，说明单次事件的波及面通常远不止一台。
• 后门与削弱防护：新增管理员账号维持访问，卸载或强制结束安全软件的进程与服务——这是该团伙人工投放流程中的常见环节，需按现场逐项核实。
• 受害面：以中小企业与政企单位的 Windows 服务器为主，事前未部署服务器侧安全软件、远程访问无多因素认证的环境被打穿的比例最高。

算法：Rust 编写，文件内容用 ChaCha20 系列流密码，密钥经 RSA 非对称封装（Solar 团队逆向记录为 RSA-2048 + ChaCha20-Poly1305 混合结构）。

关键实现缺陷：加密器在进入文件循环前一次性生成 32 字节密钥与 8 字节 nonce，随后对本次投放的所有文件复用同一条密钥流——这就是被攻破的根因。Solar 的记述是「所有文件的前 512KB 数据都被同一条密钥流异或加密」。由此已知明文攻击成立：拿到任一大于 512KB 文件的加密前后配对，即可还原密钥流并解开同批次其余文件；不同批次、不同版本的密钥不同，不能跨事件套用。

加密区段（按分支不同，直接决定修复空间）：360 的分析给出的是——不超过 512KB 的文件全量加密；超过 512KB 的 .wman 分支只加密文件头部前 512KB，其余保持明文；.peng 分支则采用稀疏加密，只覆盖头、中、尾三个区块，实测一个约 2.67MB 的文件仅约 192KB 被加密（约 7.2%）。现场仍应对代表性大文件实测覆盖范围，以样本为准。

破坏恢复能力：人工投放流程中通常伴随停止指定进程与服务、删除卷影副本、清理系统日志；数据库与备份代理被停掉后再加密，是业务数据与备份同时失效的常见成因。

平台与勒索模式：公开报告只见 Windows 加密器（360 归类为 Win32/Win64），未见 Linux / ESXi 版本，也未见该家族的公开数据泄露站，以加密施压为主；系统性窃密是在后继品牌 BrzCrypt 阶段才被重点记录。