文件服务器与 NAS 被勒索病毒加密

文件服务器被加密的破坏方式和数据库不同：它不是「一个大文件坏了」，而是成千上万个业务文件同时失效，而且价值分布极不均匀——一个项目的投标文件、一套竣工图纸、一份客户合同，其重要性可能远超整个共享盘的其余部分。所以这个场景的恢复不是技术单点问题，而是优先级问题。

扩散路径也很有特点。攻击者拿到一台域内终端或服务器的权限后，会枚举网络共享并沿着映射盘、DFS 命名空间、有写权限的共享逐级加密；如果被入侵账号是域管理员或有大范围共享权限，一次运行就能覆盖整个文件服务集群。据公开报告，Phobos 谱系（含由其衍生的 Makop）主要通过暴露在公网的 RDP 弱口令入侵，美国 CISA 也发布过专门的 Phobos 通告；GlobeImposter、Crysis/Dharma 等家族的传播方式类似，这类家族在国内文件服务器与业务服务器被加密的案例中长期高频出现。

业务风险与误操作：

• 备份被一起打掉。 如果备份目标是 NAS 上的一个共享目录，且服务器对它有写权限，备份文件会被一并加密——这是最常见的备份失效原因。
• 全员重连共享导致二次扩散。 未清除源头就恢复网络，会让仍带载荷的终端再次加密恢复出的文件。
• 在原卷上直接跑恢复软件并写回同盘。
• 急着删除加密文件释放空间。 加密文件本身可能是唯一残留素材，删掉就失去了修复和碎片恢复的可能。
• 对 NAS 做「重建 RAID」「初始化存储池」「重置配置」。 把可恢复的底层数据一起毁掉。
• 相信「杀毒软件清除后文件会自动恢复」。 清除病毒与恢复数据是两件独立的事。

我们不建议支付赎金，也不提供代谈判服务。

• 共享权限最小化。 按部门与项目划分共享，取消 Everyone 完全控制，普通用户对归档目录只给读权限；写权限越窄，一次加密的覆盖面越小。
• 3389 与 SMB 端口不对公网开放。 据公开报告，远程桌面弱口令是 Phobos、Makop、GlobeImposter 等家族最主要的入口；远程访问统一走 VPN + 堡垒机 + 多因素认证。
• 备份目标与生产权限隔离。 备份绝不写到生产服务器可写的共享；使用独立备份主机、不可变存储或磁带，并定期取一份离线。
• 启用 NAS / 存储侧只读或不可变快照。 这是本场景最有效的一道防线，因为它不在被加密文件系统的权限范围内；同时关闭 NAS 的公网访问与端口转发。
• 卷影副本不能当唯一依靠，但要开启并配合防篡改；EDR 开启卷影保护与勒索行为拦截。
• 终端侧同样要管。 映射盘是扩散通道，终端要装 EDR、关闭宏、限制本地管理员权限；重要岗位电脑的本地资料也要纳入备份。
• 文件服务器补丁与账号治理。 定期清理离职账号与长期未用账号、禁用不必要的本地管理员、开启登录失败告警与账号锁定。
• 做恢复演练。 每半年抽一个部门目录做完整恢复演练，验证备份链、权限与实际可用性，同时记录真实 RTO。