引言
近期，网络安全应急响应中心监测到 Makop 勒索家族的活跃度显著上升，其最新变种以 .[datastore@cyberfear.com].mkp为后缀对加密文件进行标记。该病毒专门针对暴露在公网的服务器，利用 RDP 暴力破解实施精准打击。本文将从技术原理、应急响应、数据恢复及防御体系四个维度，为您提供一份详尽的实战指南。如果您的机器遭遇勒索病毒的袭击时，我们的vx技术服务号（data788）是您坚实的后盾，共享我们的行业经验和智慧，助您迅速恢复运营。
身份确认：这是 Makop 勒索病毒的变种
一、命名模式：Makop 的“签名式”标识
Makop 勒索病毒自2020年首次出现以来，就以将联系邮箱直接嵌入文件扩展名作为其标志性行为。典型格式为：text
1原文件名.[email_address].mkp
例如：
- report.docx.[decrypt24@cock.li].mkp
- backup.sql.[help24h@protonmail.com].mkp
- design.dwg.[datastore@cyberfear.com].mkp
- 确保受害者无法忽略勒索信息——即使删除勒索信，每个加密文件本身仍是“活广告”；
- 便于附属团伙追踪收益——不同邮箱对应不同运营团队或地区；
- 绕过部分基于文件名的检测规则——因扩展名动态变化，难以用静态规则匹配。
二、代码与加密逻辑：高度一致的家族基因
通过对多个 [xxx@xxx].mkp 样本的逆向分析（包括本次 datastore@cyberfear.com 变种），安全研究人员发现其核心代码结构与早期 Makop 版本高度同源：1. 加密流程一致
- 使用 Windows CryptoAPI 或自实现 CSPRNG 生成 256 位 AES 密钥；
- 以 CBC 模式加密文件内容（通常跳过前 512 字节以保留文件头，但新版本已改为全文件加密）；
- 用硬编码的 RSA-2048 公钥加密 AES 密钥；
- 私钥由 C2 服务器生成并严格离线保管，本地无残留。
2. 字符串与资源复用
- 多个样本中包含相同的调试字符串（如 "Makop_Encryptor_v3.2"）；
- 加密函数的控制流图（CFG）结构几乎一致；
- 资源段中嵌入相同的图标、版本信息和编译时间戳（多为 2020–2023 年间）。
3. 反分析技巧延续
- 检测虚拟机（VMware、VirtualBox）、沙箱（Cuckoo）环境，若发现则静默退出；
- 延迟执行（首次运行后等待数小时才加密），规避行为分析；
- 代码混淆采用控制流平坦化（Control Flow Flattening）与字符串加密。
三、行为特征：从“单纯加密”到“双重勒索”
早期 Makop 仅专注于文件加密，但自 2023 年起，其运营模式明显升级：- 数据窃取前置：在加密前，使用 PowerShell 或 Rclone 脚本将敏感数据（如客户信息、财务报表、源代码）上传至攻击者控制的云存储（MEGA、Dropbox、Telegram Bot）；
- 勒索信内容强化：虽无独立文件，但部分变种会在桌面创建 HTML 文件，展示已窃取的数据截图，并附带暗网泄露链接；
- 支付引导专业化：提供 Tor 支付页面，支持比特币/门罗币，甚至设有“客服聊天”窗口。
若您的数据文件因勒索病毒而加密，只需添加我们的技术服务号（data788），我们将全力以赴，以专业和高效的服务，协助您解决数据恢复难题。
如何防御加密文件后的双重勒索？
防御“加密文件后的双重勒索”（即攻击者在加密数据的同时窃取敏感信息，并以公开或举报相威胁），不能仅依赖终端防病毒或备份恢复，而需构建覆盖事前预防、事中阻断、事后响应的纵深防御体系。以下是具体、可操作的防御策略：
一、事前：让攻击者拿不走数据
双重勒索的核心是“数据窃取”，因此防御重点在于限制敏感数据的暴露面与可访问性。- 数据分类与最小化存储
-
- 识别并标记高敏感数据（如身份证号、病历、财务报表、源代码）；
- 非必要不存储原始敏感信息（如用脱敏数据替代真实数据用于测试）；
- 定期清理过期或冗余数据，减少攻击目标。
- 严格访问控制
-
- 实施基于角色的访问控制（RBAC），确保员工只能访问其工作必需的数据；
- 对数据库、共享盘、云存储启用细粒度权限管理；
- 禁止使用通用账户（如“admin”）访问核心数据。
- 网络隔离与分段
-
- 将存放敏感数据的服务器置于独立 VLAN 或零信任网络中；
- 限制跨网段通信，防止攻击者从普通办公终端横向移动至数据核心区；
- 对数据库服务器禁用公网访问，仅允许可信应用服务器连接。
- 监控异常数据外传行为
-
- 部署网络流量分析（NTA）或 DLP（数据防泄漏）系统，检测以下行为：
-
- 大量文件被压缩（如生成 .zip、.7z）；
- 异常上传至云盘（MEGA、Google Drive、Telegram）；
- 非工作时间大量读取客户表或财务库。
- 设置告警阈值，如单用户1小时内下载超过500MB敏感数据。
二、事中：在窃取完成前阻断攻击链
即使攻击者已入侵内网，只要未完成数据窃取，仍有拦截机会。- 部署端点检测与响应（EDR）
-
- 监控可疑进程行为，如：
-
- PowerShell 执行 Base64 编码命令下载 Rclone；
- 使用 robocopy / xcopy 批量复制文件到临时目录；
- 调用浏览器自动化工具上传数据。
- 自动隔离受感染主机，阻止横向移动。
- 启用日志集中分析（SIEM）
-
- 关联 Windows 事件日志、防火墙流、EDR 告警，识别多阶段攻击：
-
- 先有 RDP 暴力破解成功（事件 ID 4625 → 4624）；
- 接着出现 Mimikatz 内存读取（LSASS 访问异常）；
- 随后大量文件被读取并外传。
- 设置自动化响应剧本（Playbook），如自动封禁 IP、禁用账户。
- 限制高风险工具执行
-
- 通过 AppLocker 或 WDAC 策略，禁止非授权用户运行：
-
- Rclone、MegaSync、Telegram Desktop（常用于数据外传）；
- 压缩工具（7-Zip、WinRAR）的命令行模式；
- 浏览器无头模式（Headless Chrome）。
三、事后：降低泄露影响，避免二次伤害
即便数据已被窃取，也可通过以下措施减轻后果：- 提前制定数据泄露响应预案
-
- 明确法务、公关、IT、合规团队职责；
- 准备监管通报模板（如 GDPR、CCPA、中国《个人信息保护法》要求）；
- 与专业 incident response 团队建立合作关系。
- 验证泄露内容真实性
-
- 攻击者常夸大窃取范围。通过日志回溯确认实际泄露数据类型与数量；
- 避免因恐慌而支付赎金——部分团伙仅窃取少量样本用于恐吓。
- 主动向监管机构报备（如适用）
-
- 在法定时限内（如 GDPR 的 72 小时）上报泄露事件，可能减轻处罚；
- 展示已采取的安全措施，体现“尽职免责”。
- 绝不私下付款换取“删除承诺”
-
- 攻击者无义务删除数据，付款后仍可能公开；
- 支付行为可能违反反洗钱法规，且鼓励更多攻击。
四、根本之道：让数据即使被窃也“无用”
- 静态数据加密（At-Rest Encryption）：对数据库、文件服务器启用 TDE（透明数据加密）或 BitLocker，即使文件被拷走也无法读取；
- 字段级加密/令牌化：对身份证号、银行卡号等关键字段单独加密，密钥由 HSM 或 KMS 管理；
- 水印与溯源技术：在敏感文档中嵌入不可见用户标识，一旦泄露可追踪源头。
结语
双重勒索的本质，是将“数据价值”转化为“勒索筹码”。防御的关键，不是阻止所有入侵（这几乎不可能），而是确保：即使系统被突破，攻击者也拿不到有用数据，或拿到后无法造成实质性伤害。真正的安全，不在于围墙多高，而在于保险柜是否上锁、钥匙是否分散保管。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展，。
后缀.rox勒索病毒,.xor勒索病毒，.rx勒索病毒, .xr勒索病毒,.bixi勒索病毒,.baxia勒索病毒,.taps勒索病毒，.mallox勒索病毒,.DevicData勒索病毒,.helper勒索病毒,lockbit3.0勒索病毒,.backups勒索病毒，[datastore@cyberfear.com].mkp勒索病毒,mkp勒索病毒，.REVRAC勒索病毒,.kat6.l6st6r勒索病毒,.888勒索病毒,.AIR勒索病毒,[xueyuanjie@onionmail.org].AIR勒索病毒，.[[yatesnet@cock.li]].wman勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
本站文章均为91数据恢复专业数据团队根据公司业务案例，数据恢复工作中整理发表，部分内容摘自权威资料，书籍，或网络原创文章，如有版权纠纷或者违规问题，请即刻联系我们删除，我们欢迎您分享，引用和转载，我们谢绝直接复制和抄袭，感谢！
联络方式：
客服热线：400-1050-918
技术顾问：133-188-44580 166-6622-5144
邮箱：91huifu@91huifu.com
微信公众号 
售前工程师1 
售前工程师2 
粤公网安备 44030502006563号