从勒索病毒到流量分析：一次完整的Solar应急响应实战复盘

1. 勒索病毒入侵的初始迹象那天早上刚到公司财务部同事就火急火燎地跑过来所有文件都打不开了我赶到现场一看电脑卡得连任务管理器都要等十几秒才能弹出来。仔细检查发现CPU被一个陌生进程占满所有文档、图片、压缩包的后缀都变成了.2700桌面上还多了个名为README.txt的奇怪文件。打开这个txt文件里面是典型的勒索信内容你的文件已被加密支付0.5个比特币到以下地址...落款邮箱是supportphobos.com。这种场景我再熟悉不过了——典型的勒索病毒攻击。不过作为安全工程师我反而有点兴奋因为终于有机会实战演练一次完整的应急响应流程了。首先需要确认病毒家族。勒索信里的邮箱、文件后缀特征都是重要线索。我立即登录应急响应.com这个威胁情报平台输入2700后缀和邮箱关键词进行搜索很快就锁定了这是Phobos勒索病毒的变种。这类病毒通常会预留恢复ID方便受害者联系攻击者谈判。果然在被加密文件的文件名中我发现了4A30C4F9-3524这串字符这就是攻击者用来识别受害者的唯一凭证。2. 应急响应第一步隔离与取证确认是勒索病毒后我立即做了三件事拔掉网线物理隔离受感染主机用U盘启动进入PE系统对磁盘做完整镜像备份这里有个重要细节在PE环境下我用DiskGenius工具先扫描了磁盘扇区发现病毒修改了文件头特征。通过查看文件属性确认加密开始时间是2025年11月19日上午10点左右——这个时间点对后续溯源非常关键。取证时我发现C:\Windows\Temp目录下有个可疑的invoice.exe文件创建时间比加密早15分钟。查看其数字签名发现证书已被吊销这很可能就是病毒载体。用奇安信沙箱分析这个样本果然检测到它尝试连接了220.181.111.1这个C2服务器。3. 数据恢复实战操作对于被加密的文件我尝试了三种恢复方案3.1 使用解密工具在应急响应.com上找到了Phobos家族的专用解密工具。操作步骤很直观decrypt_tool.exe --target C:\Users\Solar\Desktop --key 4A30C4F9-3524但实际运行时发现只能恢复部分文件说明病毒使用了动态密钥加密。3.2 备份恢复幸好发现运维之前用DiskGenius做过磁盘备份。操作过程打开DiskGenius专业版选择工具→备份分区表加载C:\Users\Solar\Desktop\工具\backup\pmfx镜像文件右键选择恢复文件成功找回了flag.bak等重要文件。这里要注意的是恢复时一定要选择原始分区格式NTFS否则可能出现乱码。3.3 手工修复对于少量关键文档我用WinHex直接编辑文件头。比如被加密的Word文档把文件头从2700改回504BPK开头部分内容就能正常显示。不过这种方法只对简单加密有效。4. 网络流量深度分析通过分析防火墙日志发现攻击路径非常清晰初始入侵39.91.141.213这个IP发送了钓鱼邮件附件就是那个invoice.exe横向移动病毒在内网扫描了445端口尝试用永恒之蓝漏洞传播C2通信每30分钟向220.181.111.1发送加密心跳包用Wireshark分析pcap流量包时我用了几个实用过滤条件http.request.method POST # 查找可疑POST请求 tcp.port 4444 # 筛查非标准端口 frame contains eval # 查找webshell特征在No.53075数据包发现了关键证据攻击者用密码shell连接了一句话木马随后上传了md5为0410284ea74b11d26f868ead6aa646e1的远程控制程序。更狡猾的是他们还创建了名为hidden$的隐藏账户密码设为Pssw0rd123——这种手法在企业内网攻击中相当常见。5. 攻击溯源与加固建议综合所有证据还原出完整攻击链员工点击钓鱼邮件附件病毒释放器关闭Windows Defender下载Phobos勒索病毒主体加密文件并删除卷影副本通过SMB漏洞尝试内网传播我给客户提出了几条关键建议禁用Office宏执行配置SMTP邮件过滤规则限制445端口访问部署EDR终端检测系统这次事件最深刻的教训是备份一定要离线存储攻击者现在会专门寻找并删除网络备份。另外日常的流量日志保存太重要了没有那天的防火墙日志根本不可能这么快定位到攻击源。