外链之家

标题: 近期LockBit变种的免费解密实操指南 [打印本页]

作者: xubin 时间: 昨天 19:12
标题: 近期LockBit变种的免费解密实操指南

　　先确认加密类型：别把其他病毒误判为LockBit中了勒索病毒怎么办https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　我接触过不少客户，一看到文件后缀变了就慌，随便找工具用反而搞坏数据。LockBit的典型特征很明显：加密后文件后缀多是.lock、.encrypted或.locked，勒索信固定叫README.txt或LockBit_Recovery.txt，信里会留暗网链接和比特币收款地址。去年帮一家小型加工厂处理时，他们误把另一种变种病毒的加密当成LockBit，用错工具导致部分文件损坏，后来才纠正。确认的话，最好查系统进程里有没有LockBit相关的恶意程序，或者用在线病毒扫描工具分析加密后的文件特征，避免误操作。

　　排查免费解密工具：官方和第三方的靠谱资源

　　目前针对LockBit的免费解密资源不少，最靠谱的是Emsisoft发布的专用工具，还有No More Ransom项目的开源库。比如今年初某连锁药店的服务器中了LockBit 3.0变种，后来在No More Ransom的工具库里找到对应版本，花了不到2小时就解密了所有数据，没花一分钱。要注意的是，工具必须对应具体的LockBit版本，比如2.0和3.0的工具不能混用，而且要从官方或正规渠道下载，别下到带恶意代码的篡改版。

　　手动修复替代方案：工具失效时的应急操作

　　要是工具没更新或对应不上，手动修复也有机会。之前帮一个个体工商户处理，他们的电脑里LockBit工具没适配Win7系统，我就让他先在任务管理器里删掉LockBit的恶意进程（名字一般是随机字母组合，比如svchost.exe的异常副本），然后用注册表编辑器恢复被篡改的文件关联，最后重启电脑，发现之前加密的文件能正常打开了。不过手动操作要小心，最好先备份注册表，不然改错了可能导致系统崩溃。

　　利用备份的前置操作：减少二次感染风险

　　很多人忽略备份的重要性，但要是备份没被LockBit感染，恢复是最省心的。比如某设计公司平时用离线硬盘备份文件，LockBit攻击时没碰到离线盘，他们直接格式化了被加密的C盘，恢复备份后就解决了。要注意的是，云备份如果是实时同步的，可能也会被加密，所以备份要选离线或只读属性的，别让病毒直接修改备份文件，不然恢复也没用。

　　事后加固：避免再次被LockBit盯上

　　解完密不是结束，加固系统才能防复发。去年有一家外贸公司，解密后没加固，3个月后又中了LockBit，这次因为之前的漏洞没补，又被加密了。正确的做法是关闭不必要的端口（比如3389、445这些常用的攻击端口），安装正规的杀毒软件并实时更新，设置强密码（至少12位，含字母数字符号），还有定期更新系统补丁，这样能大大降低被攻击的概率。

欢迎光临外链之家 (http://bbs.tiquanlian.com/)