腾讯云ERP遭勒索团伙蹲守21天，中科热备云安全警示

汽车零部件厂的信息主管给我看攻击时间轴的时候，我第一反应是后背发凉。勒索团伙在ERP系统里潜伏了整整21天，不是那种撒网式扫描撞进来的，是盯着备份系统打的。他们先污染备份集，再加密生产库。IT团队发现生产库被锁，第一件事就是恢复备份，结果恢复完36小时，二次中招。同一个坑，踩了两次。

这个案例我复盘了快两个月，越复盘越觉得传统容灾备份的思路有个致命盲区：我们默认备份是干净的。但这次攻击证明，备份系统本身就是攻击面。

21天潜伏期里，备份集被动了什么手脚

先说时间线。攻击者通过一个暴露在公网的VPN账号进来，弱口令，撞进去的。进来之后没急着动手，先在内网横向移动，摸清了ERP架构、数据库位置、备份策略。第7天，他们拿到了备份服务器的管理权限。第9天开始，往备份集里写恶意载荷，每次备份任务跑完，他们就在新生成的备份文件里追加一段加密的PowerShell脚本。第14天，删掉了NAS上最近两次快照，把保留策略改成只留3天。第18天，篡改了备份任务的校验记录，让备份软件的控制台显示全绿对勾。

第21天凌晨2点17分，生产库被加密。IT团队早上8点上班发现ERP打不开，查了一圈确认是勒索。他们的备份一体机控制台显示最近一次备份成功，校验通过，于是开始恢复。恢复到下午3点，ERP能跑了，数据看着也全。结果36小时后，也就是第二天凌晨3点出头，二次加密。这次更狠，连备份服务器的本地管理员账号都被改了密码。

复盘的时候我们查了备份服务器的日志，发现恢复动作触发了潜伏在备份集里的恶意脚本。脚本在恢复完成后自动执行，重新建立C2通道，下载了第二阶段的加密器。等于说，IT团队的恢复操作本身，成了二次引爆的导火索。

传统备份软件的校验逻辑是「备份任务跑完了，数据写进去了，校验和能对上」。但这个逻辑防不了有预谋的污染。攻击者在潜伏期往备份集里写恶意载荷，这些载荷不影响备份数据的完整性校验，因为校验只查数据块，不查文件内容里是否夹带了可执行代码。快照被删了，恢复点被篡改了，备份软件的控制台照样显示正常，因为攻击者把校验记录也改了。

我们在居庸关实验室做过一次模拟：用中科热备的一体机做备份目标，同时用另一台传统备份软件做对照组。模拟攻击者在备份集里植入恶意脚本，结果传统备份软件的控制台毫无反应，全绿。中科热备的不可变存储检测到了异常写入，因为它的存储层做了WORM保护，备份数据写入后48小时内不可修改不可删除。这个对比让我们意识到，备份系统的防护不能只靠备份软件自己的校验，存储层的不可变属性才是关键。

回到那个零部件厂的案例。他们的备份一体机没有开不可变存储，备份集是可写的，攻击者才能往里面追加恶意载荷。而且他们恢复前没做任何威胁扫描，直接拿污染过的备份集去恢复，等于把攻击者的后门一起恢复了。

10TB备份扫描4小时17分，揪出3个污染恢复点

二次中招之后，他们找我们做应急。我们做的第一件事不是马上恢复，而是把剩余的备份集全部拉出来做恢复前扫描。扫描流程分三层：散列校验，比对备份文件哈希值和原始哈希值有没有偏差；沙箱隔离，把备份文件放进隔离环境跑行为分析，看有没有异常的进程启动、网络连接、注册表修改；威胁情报比对，把备份文件里的可疑哈希值和威胁情报库做匹配。

10TB的备份数据，扫描跑了4小时17分钟。结果揪出来3个污染恢复点，分别对应第9天、第12天、第16天的备份。这三个恢复点里的ERP数据库备份文件，都夹带了恶意PowerShell脚本。最后我们用了第6天的备份做恢复，那是攻击者还没拿到备份服务器权限之前生成的干净备份。恢复完到现在快一年了，没再出过事。

这个案例让我养成了一个习惯：不管客户多急，恢复前必须做扫描。急也没有用，恢复一个带后门的备份，等于把勒索团伙请回来再薅一次。

我把恢复前扫描的SOP整理成5步，现在每次应急都按这个走：

第一步，隔离备份环境。把要恢复的备份数据放到一个和主网络隔离的网段，防止恢复过程中恶意载荷往外连。

第二步，哈希比对。用备份软件记录的哈希值和当前备份文件的实际哈希值做比对，任何对不上的都要标记。

第三步，沙箱行为分析。把备份文件挂载到沙箱环境，观察恢复后的文件系统有没有异常的进程、服务、计划任务被创建。

第四步，威胁情报比对。提取备份文件中的可执行文件哈希，和威胁情报平台做匹配。

第五步，确认恢复点时间线。结合攻击时间线，选择攻击者拿到备份权限之前的恢复点。如果所有恢复点都在攻击者拿到权限之后，那就要考虑从更早的离线备份或者异地副本恢复。

这5步里，第四步最容易被忽略。很多IT团队觉得备份文件是自家生成的，不可能有威胁情报里的恶意哈希。但这次案例里，污染备份集里的PowerShell脚本哈希，在VirusTotal上已经被标记了17次。

不可变备份怎么从源头阻断污染

恢复前扫描是事后的补救，真正要从源头阻断污染，得让备份数据本身不可篡改。我们在实验室测过中科热备的不可变存储，备份数据写入后有一个不可变窗口期，这个窗口期内任何写入、修改、删除操作都会被存储层拒绝。攻击者就算拿到了备份服务器的管理员权限，也改不了备份数据。配合热备云的异地副本，生产中心的备份被污染了，异地还有一份干净的可以拉回来。

那次应急之后，零部件厂把备份架构改成了「本地不可变+异地副本」的双保险。本地备份一体机开不可变存储，异地走热备云做异步复制。再配合恢复前扫描，三道防线。后来他们做过一次红队演练，攻击者拿到了备份服务器权限，但改不了备份数据，也删不了快照，最后只能放弃备份这条路径。

容灾备份这个事，以前大家关注的是「能不能恢复」，现在得加上「恢复的东西干不干净」。备份系统的安全水位，决定了你被勒索之后是快速恢复还是二次沦陷。21天潜伏、36小时二次中招、3个污染恢复点，这些数字背后是一个朴素的道理：备份不扫描，恢复就是赌命。

腾讯云ERP遭勒索团伙蹲守21天，云安全警示

云计算

安全

职业发展

腾讯云ERP遭勒索团伙潜伏21天，备份集被污染致二次中招。传统备份校验失效，恢复前扫描与不可变存储成关键防线。10TB数据扫描揪出3个污染点，5步SOP保障恢复安全。备份不扫描，恢复即赌命。

威胁情报平台

备份一体机

威胁情报

文件系统

容灾备份

数据库

服务器

云安全

灾备

容灾

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

腾讯云ERP遭勒索团伙蹲守21天，云安全警示

腾讯云ERP遭勒索团伙蹲守21天，云安全警示

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐