建筑公司服务器遭LockBit加密，无需支付赎金成功解密数据库

建筑公司服务器遭LockBit加密，无需支付赎金成功解密数据库

这是一起典型的建筑行业勒索病毒事件。客户是一家承接市政与房建工程的建筑公司，服务器上运行着项目管理系统、投标资料库与财务账套。攻击发生在周五深夜，周一上班时，全公司业务系统停摆，所有重要文件都被追加了统一后缀，桌面留下了勒索说明文件。客户的第一反应是准备支付赎金——但我们给出的方案，最终让客户一分钱都没花就找回了数据。

客户背景与业务重要性

客户是一家拥有两百余名员工的建筑企业，信息化程度中等但依赖度极高：

• 项目管理系统数据库：承载全部在建项目的进度、材料、劳务与验收记录

• 投标资料库：历年标书、图纸、报价文件与资质材料

• 财务账套：往来账、成本核算与税务申报数据

• 设计图纸文件：大量 CAD 图纸与施工图，单个体积大、总量巨大

对建筑企业来说，这些数据一旦丢失，直接影响的是投标资格与在建项目的结算依据，损失远不止数据本身。

故障经过

攻击时间线

• 周五 23:40：攻击者通过暴露在公网的远程桌面端口入侵，使用弱口令账号登录

• 周五 23:55：攻击者在内网横向移动，获取域管理员权限

• 周六 01:20：批量加密开始，文件服务器、数据库服务器、备份目录同时中招

• 周六 02:10：卷影副本被删除，系统还原点被清空

• 周一 08:30：员工上班发现异常，IT 管理员联系我方

故障现象

• 数据库文件被追加 .lockbit 后缀，SSMS 中无法附加

• 共享目录下几乎所有 Office 文档、图纸文件被加密

• 备份服务器上的备份文件同样被加密，卷影副本已不可用

• 每台机器桌面出现勒索说明文件，要求以加密货币支付赎金

这是最糟糕的组合：数据库被加密 + 备份被加密 + 卷影副本被删除，等于三条常规恢复路径全部切断。

客户的自救尝试与踩坑

在联系我方之前，客户 IT 管理员做了几件事：

1. 尝试用杀毒软件全盘扫描清除病毒：扫描确实清理了病毒主体，但被加密的文件并未恢复，反而占用了大量磁盘写入

2. 尝试用网络上的解密工具：运行了两个所谓的"LockBit 解密器"，均提示不支持的版本，且工具在文件上做了写操作

3. 尝试附加数据库：SSMS 提示文件头无效，附加失败；管理员随后尝试了重建数据库的操作，被我们及时叫停

这些操作带来的影响：部分文件元数据被改写，增加了底层解析的复杂度。所幸客户在咨询我们后立即停止了所有操作，未造成不可逆的破坏。

我方技术方案

第一步：应急止损（接到咨询后 30 分钟内）

• 指导客户立即断开服务器网络连接，防止横向扩散

• 要求保持服务器开机状态，不做关机重启，不删除任何文件

• 要求停止一切解密工具运行与杀毒扫描，冻结现场

• 收集勒索说明文件与错误日志，作为版本判定依据

第二步：版本判定与可行性评估（2 小时内）

• 分析加密文件后缀、勒索说明文件内容与加密算法特征

• 通过底层十六进制分析确认加密范围

• 关键发现：该变种采用分段加密，文件头与尾部被改写，但中段大量数据页保持明文

• 结论：数据库文件恢复可行性高，文件类数据可部分恢复

第三步：只读镜像（4 小时）

• 对数据库服务器硬盘做扇区级只读镜像，全程不改动原盘

• 对文件服务器做同样处理

• 镜像完成后，所有分析在镜像副本上进行，原盘封存

第四步：数据库结构重建（8 小时）

• 解析 MDF 文件结构，定位被改写的文件头

• 跳过损坏头部，直接解析数据页与页链

• 重建引导页、PFS/GAM/SGAM 等系统页结构

• 重建聚集索引与非聚集索引，恢复全部业务表

• 逐表校验记录数与关键字段，确保数据一致性

第五步：文件类数据抢救（6 小时）

• 对 Office 文档、图纸文件做底层扫描与类型识别

• 对未被加密的数据段进行提取与文件重建

• 按目录结构还原文件，优先交付投标资料与图纸

第六步：交付与回挂（2 小时）

• 交付可用数据库文件，协助客户完成生产环境回挂

• 交付还原后的文件目录

• 提供加固建议与后续防护方案

恢复结果

• 数据库：项目管理系统数据库、财务账套数据库全部完整恢复，表结构与索引完整

• 文件数据：投标资料、图纸文件、合同文档等恢复比例超过 90%

• 恢复周期：从接到咨询到交付，总计 22 小时

赎金支出：0 元，客户未支付任何赎金

客户反馈

"当时已经在准备凑赎金了，因为备份也被加密了，感觉完全没有退路。工程师接到电话后第一句话就是'先别做任何操作'，这句话救了我们的数据。第二天下午数据库就回来了，在建项目的结算资料一份没少。整个过程我们只负责确认业务优先级，剩下的都是他们在做，很省心。"

案例启示

这起案例给企业的三点启示：

1. 备份必须离线：联网的备份等于没有备份，攻击者会优先破坏备份链路

2. 应急第一步是"停手"：不操作比错误操作重要得多，反复尝试会毁掉恢复机会

3. 支付赎金不是解决方案：付款后拿不到解密工具、解密不完整、再次被勒索的情况极为普遍

我们的服务承诺

• 不成功不收费：检测与评估免费，未恢复数据不收取费用

• 只读镜像不改动原盘：所有操作在镜像副本上完成，原盘封存备查

• 全程 1V1 托管：一个工程师负责到底，进度实时同步

• 7×24 小时响应：勒索病毒事件不分节假日

【免费咨询入口】

💡 免费故障检测：专业工程师一对一远程诊断，评估恢复可行性

📞 服务热线：0592-5971726

📱 售后电话：15392031800（微信同号）

💬 在线咨询：扫码添加技术支持微信

✉️ 邮箱：32518962@qq.com

📍 厦门线下服务：厦门市集美区杏林湾路466号1209室之一（支持上门检测）

🔒 服务承诺：不成功不收费 | 只读镜像不改动原盘 | 全程1V1托管

如需帮助，欢迎立即联系我们，专业数据恢复团队为您保驾护航！