快科技 10 月 30 日消息，针对近期群晖 NAS 勒索软件攻击事件，有安全研究人员在 GitHub 上发布名为 c3rb3r-rescue 的开源项目。

该项目基于实证的内存取证与副本解密复原方法，成功还原了 10 月 24 日近 49GB 的 GitLab 每周备份文件，恢复了 80 个项目、23 名用户、16 个群组和超过 9000 个 LFS 对象，为遇到同类勒索攻击的企业与系统管理员提供了极具参考价值的实战应变指引。

c3rb3r-rescue 并非 C3RB3R 家族通用的万能解密程序，而是针对已分析的特定样本与文件格式建立的取证及解密记录，其核心概念在于抢救内存中残留的解密材料，用于解密受灾文件的独立副本。

因此，当设备遭到入侵时，关键在于保住易失性内存，切勿在第一时间直接重启或更改系统设置。

开发者特别提醒，当管理员发现设备遭受勒索攻击时，首要原则是在封锁恶意程序继续加密、同时保留管理通道的前提下，以最快速度截取处理程序内存及整机物理内存。

千万不要为了清理恶意程序而贸然结束进程、重启、升级操作系统或加载救援光盘启动，因为主机一旦重启或电源中断，内存中的易失性密钥将彻底丢失，后续的取证与还原程序也将完全失效。

在 PVE 虚拟化环境的实测中，团队在维持系统运行的状态下，成功在内存残留中提取出一组关键的 48 字节主要材料。

不过作者强调，这组密钥仅为该特定工作阶段在内存中的残留材料，并非攻击者的通用 RSA 私钥，因此无法直接跨受害者套用。其他受害者仍须从自己机器的内存中提取对应密钥，或在独立副本上进行比对验证。

解密过程中，团队通过这组密钥配合五组已知明密文逐字节比对验证，成功将 10 月 24 日约 49GB 的每周备份完整解密，并在隔离环境的同版本 GitLab 中顺利恢复出 80 个项目、23 名用户、16 个群组及 9253 个 LFS 对象，其代码库、Secrets 机密变量、附件与 CI/CD Artifacts 均通过完整性校验，Web 登录页面也正常响应 HTTP 200。

c3rb3r-rescue 项目已在GitHub开源发布，内容包括取证流程、自动化解密脚本 decrypt_copy.py、多阶段备份校验工具 verify_backup.py，并附带可供 AI 代理协助引导操作的任务技能说明 SKILL.md，供安全研究人员与受害管理员参考验证。

【本文结束】如需转载请务必注明出处：快科技

责任编辑：黑白