.[xueyuanjie@onionmail.org].AIR勒索病毒数据处理|数据解密恢复
- 客户名称：国内某公司
- 售前服务顾问：谢顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
.[xueyuanjie@onionmail.org].AIR 勒索病毒以精准和高强度的加密著称，尤其针对企业服务器和高价值终端。然而，对于开发人员和运维人员而言，系统硬盘深处往往维护着一份未被加密的“时间胶囊”——Git 仓库。尽管工作目录被加密，但隐藏的 .git 文件夹若被幸存，即可通过版本回滚实现数据的秒级重建。
而在防御侧，.AIR 病毒在进入内网后，最擅长利用“每台电脑都有相同的本地管理员密码”这一弱点进行哈希传递攻击。部署 LAPS 可以让每台机器的本地密码独一无二且定期轮换；同时，强制显示文件扩展名虽然看似基础，却能粉碎病毒最常用的社会工程学伪装伎俩。
.[xueyuanjie@onionmail.org].AIR勒索病毒数据处理|数据解密恢复
![.[xueyuanjie@onionmail.org].AIR勒索病毒数据处理|数据解密恢复](/96kaifa/images/case/caseimgbg.png)
案例简介：
.[xueyuanjie@onionmail.org].AIR 勒索病毒以精准和高强度的加密著称，尤其针对企业服务器和高价值终端。然而，对于开发人员和运维人员而言，系统硬盘深处往往维护着一份未被加密的“时间胶囊”——Git 仓库。尽管工作目录被加密，但隐藏的 .git 文件夹若被幸存，即可通过版本回滚实现数据的秒级重建。
而在防御侧，.AIR 病毒在进入内网后，最擅长利用“每台电脑都有相同的本地管理员密码”这一弱点进行哈希传递攻击。部署 LAPS 可以让每台机器的本地密码独一无二且定期轮换；同时，强制显示文件扩展名虽然看似基础，却能粉碎病毒最常用的社会工程学伪装伎俩。
导言
.[xueyuanjie@onionmail.org].AIR 勒索病毒以精准和高强度的加密著称，尤其针对企业服务器和高价值终端。然而，对于开发人员和运维人员而言，系统硬盘深处往往维护着一份未被加密的“时间胶囊”——Git 仓库。尽管工作目录被加密，但隐藏的 .git 文件夹若被幸存，即可通过版本回滚实现数据的秒级重建。
而在防御侧，.AIR 病毒在进入内网后，最擅长利用“每台电脑都有相同的本地管理员密码”这一弱点进行哈希传递攻击。部署 LAPS 可以让每台机器的本地密码独一无二且定期轮换；同时，强制显示文件扩展名虽然看似基础，却能粉碎病毒最常用的社会工程学伪装伎俩。重要提醒：数据加密勒索事件频发，预防胜于治疗。如需防护建议或已中招求助，请立即添加我们的技术服务号（huifu234）获取专家支持。
一、 .AIR 的“版本盲区”与“凭据复用”
1. .git 隐藏目录的“免检”特权
Git 将版本历史存储在项目根目录下的 .git 隐藏文件夹中。由于该文件夹以点开头，且结构复杂（包含 pack 文件、refs、objects 等），许多勒索病毒在枚举文件时，会将其视为系统目录或直接跳过。只要 .git 文件夹未被加密，项目的完整源码和配置数据实际上并未丢失，只是工作视图被破坏了。
2. 横向移动的“密码复用”与“文件名欺骗”
-
凭据复用： 企业内网中，若所有机器的本地管理员账户（如
Administrator）密码相同，一旦一台机器被攻破，.AIR病毒即可利用该哈希无障碍登录其他机器。 -
文件名欺骗： 病毒常发送名为
invoice.pdf.exe的文件。如果系统默认隐藏已知文件类型的扩展名，用户看到的是invoice.pdf，一旦双击，即触发了病毒。
二、 数据恢复：利用 Git 仓库历史回退
这是针对开发环境最有效的、无需备份的恢复手段。
1. 检查 .git 目录的完整性
-
操作逻辑：
-
-
进入被感染的项目目录。
-
输入
dir /a(Windows) 或ls -a(Linux/WSL)。 -
关键判断： 如果能看到
.git文件夹，且尝试进入该文件夹不报错（未加密），那么你的数据有救！ -
病毒可能加密了当前工作区的文件，但通常不会去解析并加密
.git/objects中的二进制压缩对象。
-
2. 执行 Hard Reset 与文件恢复
-
操作逻辑：
-
-
在项目根目录打开 Git Bash 或命令行。
-
查看状态： 输入
git status。你会看到所有文件被列为 Modified（修改）或 Deleted（删除），因为内容被病毒篡改。 -
查看历史： 输入
git log，找到病毒爆发前的最后一次提交哈希（Commit ID）。 -
强制回退： 执行
git reset --hard <Commit_ID>。 -
效果： Git 会利用
.git文件夹中的历史数据，强制覆盖当前工作区被加密的文件，将它们还原到最后一次提交时的纯净状态。
-
-
进阶操作（如果 reflog 丢失）：
-
-
如果分支指针也被破坏，可以使用
git reflog查找所有操作记录，甚至使用git fsck --lost-found尝试从对象数据库中提头文件。
-
如果您的业务系统遭遇勒索病毒侵袭导致运营中断，欢迎通过技术服务号（huifu234）联系我们的应急响应团队，我们将全力协助您降低损失。
三、 预防：部署 LAPS 与强制显示文件扩展名
之前的防御提到了 PAM 和 RDP 跳板机，但 LAPS 是针对本地管理员密码的特定管理方案；而扩展名显示则是针对用户界面（UI）的安全加固。
1. 部署 LAPS (Local Administrator Password Solution)
-
原理： LAPS 是微软提供的一项解决方案，它允许每台计算机的本地管理员密码定期自动随机化（例如每 30 天变更为一个 128 位的复杂密码），并将密码存储在 Active Directory (AD) 的受保护属性中。只有授权的 IT 人员有权查看。
-
操作策略：
-
-
安装 LAPS： 在域控制器上安装 LAPS 管理工具，在所有客户端计算机上安装 LAPS 客户端扩展（通过 GPO 软件安装）。
-
配置 AD 权限： 在 AD 中设置 ACL，限制只有特定的 IT 管理员组有权读取
ms-MCS-AdmPwd属性。 -
GPO 配置： 设置密码策略（长度、复杂性、更改频率）。
-
-
防御效果：
-
-
即使
.AIR病毒攻破了内网中的一台电脑并抓取了本地管理员 Hash，该 Hash 在其他任何一台电脑上都无效（因为每台机器的密码都不同）。 -
这将一台机器的单点感染彻底隔绝，使病毒无法通过 IPC$ 或 WMI 进行横向扩散，实现了“内网微分段”的权限隔离效果。
-
2. 强制显示文件扩展名
-
原理： 这是防御社会工程学攻击的第一道也是最重要的一道防线。通过系统策略，禁止 Windows 隐藏已知文件类型的扩展名，让
.exe、.bat、.vbs无处遁形。 -
操作策略：
-
-
组策略配置： 运行
gpedit.msc。 -
导航到
用户配置->管理模板->Windows 组件->文件资源管理器。 -
找到 “显示文件扩展名”。
-
设置为 “已启用”。
-
注册表配置： 路径
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced，设置HideFileExt值为0。
-
-
防御效果：
-
-
当攻击者发送伪装成“2024薪资表.pdf.exe”的恶意文件时，用户在界面上看到的将完整显示为
2024薪资表.pdf.exe。 -
这种视觉上的“破防”能有效降低用户误点击的概率，从源头切断
.AIR病毒通过邮件或 IM 软件进行的初始感染。
-
结语
面对 .[xueyuanjie@onionmail.org].AIR 勒索病毒，在数据恢复层面，利用 Git 仓库的版本回退，开发人员可以在废墟中重构出完整的源码库，这是针对代码资产最独特的救赎方式。而在防御侧，LAPS 通过让每台机器拥有独立的“身份证”（本地密码），粉碎了病毒横向移动的凭证基础；强制显示文件扩展名 则擦亮了用户的眼睛，让病毒的伪装无法得逞。这种结合了版本控制技术挖掘与凭据随机化/UI 防御的策略，为企业构建了一道兼具技术深度与用户意识的坚固防线。
