sentinel, Lab
场景 3 — 阶段二：影响评估与取证
感染范围评估
| 主机 | 状态 | 加密文件数 | 业务影响 |
|---|---|---|---|
| DB-01 | 已加密 | 12,847 | 核心数据库 |
| App-01 | 已加密 | 5,230 | 业务服务 |
| Web-01 | 部分加密 | 1,890 | Web 服务 |
| NAS-01 | 已加密 | 45,000+ | 文件共享 |
| File-02 | 未感染 | 0 | 正常 |
统计： 感染主机 23 台 · 加密文件 64,967 · 核心系统 8 个
加密类型与解密可能性
| 项目 | 详情 |
|---|---|
| 病毒家族 | LockBit 3.0 |
| 对称加密 | AES-256-CTR |
| 非对称加密 | RSA-2048 |
| 文件后缀 | .lockbit |
| 加密范围 | 文档 / 图片 / 数据库 / 压缩包 |
| 方法 | 可行性 | 说明 |
|---|---|---|
| 官方解密工具 | 可能 | No More Ransom 查询 |
| 内存提取密钥 | 低 | 未关机则有希望 |
| 影卷副本恢复 | 不可行 | 已被删除 |
| 暴力破解 | 不可行 | AES-256 无法暴力 |
| 备份恢复 | 可行 | 离线备份完整 |
取证数据收集
| 步骤 | 工具 | 目的 |
|---|---|---|
| 1. 内存转储 | winpmem / dumpit |
提取加密密钥、恶意进程内存 |
| 2. 磁盘镜像 | dd / FTK Imager |
逐扇区完整备份，保留勒索信和加密文件 |
| 3. 日志收集 | Windows 事件日志 / Sysmon | 网络流量 / DNS 查询 / 防火墙日志 |
| 4. 勒索信分析 | — | 提取赎金金额、暗网地址、联系方式 |
IOC 提取与溯源
IOC 示例：
- HASH：
e4d90f2a7b3c...lockbit.exe - C2 IP：
185.xxx.xxx.42:443 - 邮箱：
lockbit_supp@onionmail.org - Tor：
lockbitapt2yfbt7l...onion
入侵路径溯源：
- 初始入口：RDP 暴力破解 → 外网暴露的 3389 端口
- 权限提升：Mimikatz 提取域管凭证
- 横向扩散：PsExec + SMB 传播至全网段
溯源完成 → 进入阶段三：数据恢复与业务重建