勒索加密特征识别
识别勒索要先回答两件事：这批文件是不是被加密了、是哪个家族做的。可用线索有三类——文件被追加的固定或随机扩展名、落地的勒索信文件、以及大量文件修改时间集中在几分钟内。识别动作必须排在处置之前：先归档样本与勒索信，再谈清理与恢复，因为家族线索决定了后续能不能找到解密工具，也决定了要不要报案的取证要求。
基本信息
| 扩展名字段 | 固定后缀（.locked、.encrypted）或每文件随机串，同名家族特征明显 |
|---|---|
| 勒索信形态 | README、HOW_TO_DECRYPT、RECOVER_FILES 等文本或 HTA、HTML 文件，常出现在每个目录 |
| 时间特征 | 同一目录下大量文件的 mtime 集中在数分钟内，且持续向外扩散 |
| 文件头特征 | 部分家族会改写文件头或补写加密元数据，导致文件类型识别失败 |
| 第一步动作 | 保留加密样本与勒索信原件，不要覆盖、不要重命名、不要尝试批量解密 |
| 处置依据 | CISA StopRansomware 与 No More Ransom 的识别流程 |
典型使用场景
- 业务方反馈「文件打不开，多了奇怪后缀」时做首次确认
- 备份服务器与共享目录出现同类后缀时判断扩散范围
- 判断是否需要同步上报与联系专业解密支持
- 在清理前固定样本，便于事后比对家族并在公开解密工具库里检索
- 复盘时统计加密文件数量与时间跨度，评估是否需要数据恢复服务
定位加密迹象与勒索信
定位加密迹象与勒索信
date -u; hostname # 固定时间基准与主机身份
find /data -xdev -type f -mmin -120 | head -n 50 # 近两小时被改动的文件
find /data -xdev -type f -mmin -120 | awk -F. '{print $NF}' | sort | uniq -c | sort -rn | head # 扩展名分布
find /data -xdev -maxdepth 6 -iname '*DECRYPT*' -o -iname '*RECOVER*' -o -iname '*README*' 2>/dev/null | head -n 20
find /data -xdev -type f -mmin -120 -printf '%TY-%Tm-%Td %TH:%TM %s %p\n' 2>/dev/null | sort | head -n 30 # 时间与大小排序
sha256sum $(find /data -xdev -type f -mmin -120 | head -n 3) 2>/dev/null | tee /evidence/ransom_samples.sha256识别维度与读法
| 维度 | 正常表现 | 勒索特征 |
|---|---|---|
| 扩展名 | 业务自有后缀，长期稳定 | 突然出现统一新后缀，或每文件随机后缀 |
| 勒索信 | 无 | 多目录同时出现同名说明文件，含钱包地址与联系邮箱 |
| mtime 分布 | 分散在各工作日与发布窗口 | 几分钟内成片更新，且沿目录层级推移 |
| 文件头 | 类型识别正常 | 文件类型与扩展名不符，或识别工具报损坏 |
| 共享与备份盘 | 权限受控、写入有序 | 同一时间被批量写入，说明横向扩散到了网络路径 |
不要全盘打开加密文件试恢复，也不要对加密样本做压缩、另存或重命名：这类动作可能触发二次加密，也会破坏可用于家族识别的原始特征。样本按原样复制到独立介质即可。
有些家族不改扩展名，只改写内容或只加密数据库文件，此时扩展名统计会完全看不出问题。这类情况要结合业务报错（数据库打不开、页面白屏）与文件头比对来判断。
家族线索要去公开解密资源里查：把扩展名、勒索信文件名与内容片段作为关键字检索，能确定家族与是否已有免费解密工具。检索到的工具只能用在副本上，且要确认来源可信。
统计口径要写清：加密文件数、受影响目录数、时间跨度三项一起报，避免只给一个笼统的「大量文件被加密」。共享目录与备份池要单独统计，因为它们直接决定恢复方案是走备份恢复还是需要外部支持。