警惕全球顶级勒索团伙回归！LockBit5.0 横扫政企虚拟化基础设施

尊敬的读者

经历执法机构打击之后，LockBit 勒索团伙重建运营体系，推出全新迭代版本LockBit5.0，是当前全球活跃度最高的 RaaS 勒索威胁。该版本实现 Windows、Linux、VMware‑ESXi 全平台打击，主打三重勒索：数据窃取 + 文件加密 + DDoS 施压，制造业、医疗、文娱、虚拟化集群成为重灾区ngCERT。本文梳理 LockBit5.0 完整攻击链路，结合海外知名企业真实攻击案例，拆解加密特征、入侵路径、应急处置以及分层防御方案，帮助运维人员识别、处置该高危威胁。

一、威胁全景：拆解 LockBit5.0 的攻击利刃

LockBit5.0 属于成熟 RaaS 勒索即服务，后缀为 16 位随机字符，无固定后缀，仅有少量旧版本存在公开解密工具，新版本变种暂无可用解密器；攻击周期短，入侵后潜伏数天就完成窃密 + 加密，虚拟化环境会直接关停虚拟机再加密磁盘文件，破坏力极强Trend Micr...。

1）加密破坏力：全平台锁库，抹除本地恢复证据

1. 文件加密后追加16 位随机字符后缀，示例：生产图纸.dwg.7s9k2dFg8n1mPq4z，没有固定后缀，不能仅凭后缀判断家族，需要结合勒索信、恶意样本综合研判。
2. 采用 XChaCha20+Curve25519 加密组合，多线程高速加密，大文件处理效率极高，对文件本体完整覆写加密，普通工具无法破解。
3. 主动删除卷影副本 VSS，打补丁干扰 ETW 日志采集，清理系统、虚拟化日志，销毁溯源与本地恢复线索，同时终止安全防护服务，规避 EDR 检测。
4. 针对性加密 VMware 虚拟化存储文件，可批量关闭虚拟机，对整套虚拟化集群实施加密；优先锁定数据库、ERP、图纸、财务、客户资料等高价值业务数据，跳过操作系统核心文件ngCERT。

2）勒索博弈手段：三重施压，暗网泄露站点公开曝光

病毒在加密目录释放ReadMeForDecrypt.txt勒索信，提供 Tor 暗网谈判页面。 除索要大额虚拟货币赎金之外，LockBit5.0 实施三重勒索：将窃取的业务文档、客户资料上传至暗网泄露站点公开；部分情况下附加 DDoS 攻击施压企业业务。

重要提醒：网上流传的通用解密工具对 LockBit5.0 新版本全部无效，部分下载链接携带木马，会造成二次破坏。

3）入侵溯源：黑客突破企业防线的多条通道

1. VPN、防火墙、外网设备高危漏洞利用：当前 LockBit5.0 重点攻击路径，利用外网暴露设备未修复漏洞直接获取内网入口，不需要爆破密码。
2. RDP、VPN 窃取账号凭证，黑市购买被盗账号，暴力破解登陆服务器。
3. 定向钓鱼邮件：ISO 镜像、LNK 快捷方式、恶意 Office 宏附件，触发载荷落地执行。
4. 供应链、第三方合作机构渗透，作为跳板入侵企业内网。
5. 获取权限后抓取域账号、SSH 密钥，在内网横向扩散，直达虚拟化、存储、域控核心服务器。

真实攻击案例

泰国头部院线集团 Major Cineplex 遭遇 LockBit5.0 攻击，该企业拥有数十家影院，线上售票、会员、财务系统全部部署虚拟化平台。黑客利用外网设备漏洞攻入内网，潜伏数日完成业务数据窃取，随后对大量虚拟机磁盘执行加密，企业业务系统大面积瘫痪。LockBit 团伙将该企业挂在暗网泄露页面公开威胁，就对外泄露会员信息与财务运营数据，企业被迫开展紧急应急处置，影院线上业务长时间受损，同时承担巨大的数据泄露合规风险。

二、事件处置：遭遇 LockBit5.0，止损与数据自救实操

禁止操作：不要反复重启设备、不要手动修改加密后缀、不要随意下载网络解密链接。

第一阶段：切断传播链｜隔离资产，保全取证现场

1. 立刻断开中毒服务器、虚拟化主机网络，断开 NAS、SMB 共享存储，阻断横向扩散，防止更多虚拟机、业务服务器被加密。
2. 切勿关机，保留内存现场；完整留存勒索信、恶意样本、系统日志、虚拟化日志，用于后续溯源分析。
3. 全网资产排查，扫描所有服务器、虚拟机，查找随机后缀加密文件，发现受感染资产立刻隔离。

第二阶段：数据抢救｜多路径尝试恢复，规避赎金陷阱

1. 核查卷影副本：该病毒会主动清除卷影副本，但部分环境仍有残留快照，可尝试评估恢复可行性。
2. 优先启用物理隔离离线备份，3‑2‑1 规范备份是对抗 LockBit5.0 最可靠的手段。
3. 无有效备份，联系专业安全、数据恢复机构评估。
4. 完成全面后门排查：查找异常账号、计划任务、植入后门，修复漏洞，全部清除威胁残留之后，再逐步恢复业务与虚拟机。

三、主动防御：搭建抵御 LockBit5.0 的多层安全防护网

1）筑牢第一道关口：收紧外网入口，及时修复高危漏洞

外网 VPN、防火墙、远程管理设备严禁裸奔暴露；定期跟进固件与系统 CVE 漏洞，优先修补外网设备高危漏洞；RDP、SSH 禁止直接公网开放，运维使用堡垒机；开启账号锁定策略，配置 MFA 多因素认证，阻挡账号爆破。

2）收缩安全边界：权限收敛 + 内网逻辑分段隔离

落实最小权限，域管理员、数据库账号按需分配权限，不滥用高权限账号；内网做网络分段，虚拟化平台、数据库服务器单独隔离，限制跨网段横向访问，单点被攻陷阻止威胁扩散至全集群。

3）捕捉异常信号：端点 + 虚拟化双重监控，前置告警

部署 EDR 终端防护，同时开启虚拟化平台安全监控；重点监控批量文件改写、卷影副本删除、安全服务终止、异常批量关机虚拟机等行为；拦截恶意 ISO、LNK 钓鱼附件，对管理员异常登陆行为实时告警。

4）守住最后一道生命线：严格落地 3‑2‑1 备份铁律

执行 3‑2‑1 备份策略：3 份数据副本、2 种存储介质、1 份异地离线备份；备份存储平时断开内网挂载，定期开展备份恢复演练，验证备份可用性，面对 LockBit5.0 这类高级勒索，备份是企业最后的生命线。

后缀.weax勒索病毒，.wex勒索病毒，.rox勒索病毒，.sorry勒索病毒，.sorry1勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，Devicdata-X-XXXXXX勒索病毒，.helper勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.FAFX勒索病毒，.flex勒索病毒，.piz勒索病毒等。