备份服务器遭勒索病毒加密时应优先保全哪些日志、快照及存储信息

立即停止写入操作，优先隔离并完整保全原始存储介质及关联日志

备份服务器遭勒索病毒加密后，首要动作是立即断开网络连接、禁用远程访问权限，并停止任何写入类操作（如快照创建、日志轮转、自动备份、RAID重建或文件系统修复）。此时不应尝试解密、运行杀毒软件扫描或手动删除可疑文件——这些行为可能触发二次加密或覆盖关键元数据。是否可恢复、恢复程度及所需技术路径，需对原始存储介质（含系统盘、数据卷、快照存储池）进行只读检测后确认，不可凭经验预判。 技王数据恢复

技王数据恢复

应优先保全的四类关键信息

在确保不向被感染设备写入的前提下，以下信息具有最高取证与恢复价值，须按顺序完整提取或镜像保存： www.sosit.com.cn

• 完整系统日志与安全事件日志：包括 Windows Event Logs（Security、System、Application）、Linux syslog/journalctl 输出（尤其是 auth.log、kern.log、rsyslog 中时间戳密集的异常登录、进程启动、服务崩溃记录），以及备份软件自身日志（如 Veeam、Commvault、Bacula 的 job logs 和 error logs）；
• 未加密前的快照元数据：ZFS/Btrfs/LVM 快照的名称、创建时间、挂载状态、引用计数及快照树结构（zfs list -t snapshot、btrfs subvolume list -s）；注意：仅保存元数据，不尝试挂载或读取快照内容；
• 存储层底层信息：RAID 配置（mdadm --detail /dev/mdX 或硬件 RAID 卡 BIOS 截图）、LVM 物理卷/卷组/逻辑卷映射（pvs; vgs; lvs; pvdisplay -m）、磁盘分区表（fdisk -l /dev/sdX 或 parted -l）；
• 加密痕迹与勒索信原始副本：勒索信文件（如 README.txt、HOW_TO_DECRYPT.html）、加密后文件扩展名、加密前后文件大小对比样本（选取少量非敏感文件）、内存中残留的加密进程信息（若系统仍运行且未重启，可用 ps aux | grep -i encrypt 或 Volatility 提取）。

www.sosit.com.cn

可能原因与需检测后确认的关键点

勒索病毒侵入备份服务器通常源于横向移动或配置缺陷，但具体攻击路径与加密机制需实证： 技王数据恢复

• 可能原因：主业务服务器失陷后通过共享凭证横向渗透至备份服务器；备份服务暴露于公网且存在未修补漏洞（如 CVE-2023-27350、CVE-2024-29988）；备份账户权限过高且启用弱密码或无多因素认证；备份软件插件或Web管理界面存在RCE漏洞；
• 需要检测后确认：病毒是否启用“反虚拟机/反沙箱”逻辑导致部分文件未加密；加密是否覆盖快照元数据区（影响ZFS/Btrfs快照回滚可行性）；是否存在TRIM指令触发（针对SSD/NVMe上的快照卷）；加密密钥是否已泄露或本地缓存；是否启用双重加密（如DeadLock等Rust系勒索软件的分阶段加密行为）。

严禁执行的高风险操作

以下操作将显著降低数据可恢复性，必须绝对禁止：

www.sosit.com.cn

• 对已加密卷执行 chkdsk、fsck、diskpart clean 或任何文件系统修复命令；
• 在未镜像前提下，对RAID阵列执行“重建”“初始化”或更换成员盘；
• 手动删除勒索信、日志文件或疑似恶意进程，可能破坏时间线证据与内存取证线索；
• 为“释放空间”而删除旧快照或归档备份，尤其当快照本身未被加密时（如ZFS快照若未被主动销毁，其数据块可能仍完整）；
• 反复重启服务器或强制断电，可能导致文件系统元数据损坏或快照链断裂。

www.sosit.com.cn

FAQ：关于备份服务器勒索加密的常见技术疑问

Q：能否直接从快照恢复？

A：取决于快照类型与加密范围。ZFS/Btrfs只读快照若未被病毒主动删除或覆盖元数据，通常可直接挂载恢复；但若病毒调用zfs destroy或利用内核漏洞篡改快照指针，则需底层块级分析。LVM快照不适用此场景，因其为写时复制（COW）临时机制，通常不用于长期备份。

技王数据恢复

Q：日志被清空或轮转了，还有用吗？

A：仍有价值。即使当前日志被覆盖，Windows事件日志可能留存于%SystemRoot%\System32\winevt\Archive，Linux journal 可能保留于/var/log/journal/。未被覆盖的早期日志片段足以定位入侵入口点和首例加密时间。

Q：NAS或专用备份设备（如QNAP、Synology、Rubrik）是否同样适用？

A：原则一致，但需额外保全设备特有信息：QNAP/Synology 的QTS/DSM系统日志、快照服务配置截图、存储池健康状态；Rubrik等则需导出rubrik-cli输出的cluster status、snapshot list及API审计日志。

Q：是否应先重装系统再恢复数据？

A：否。重装会覆盖系统分区，丢失内存转储、进程列表、注册表/配置文件等关键线索。应先完成只读取证与介质镜像，再在隔离环境中部署新系统。

技王数据恢复可提供针对性检测与恢复服务

技王数据恢复（JiWang Data Recovery）具备服务器级存储介质只读镜像、快照元数据解析、勒索病毒行为特征比对及加密文件系统结构重建能力。针对备份服务器被加密场景，可评估ZFS/Btrfs快照完整性、LVM/RAID逻辑结构一致性、以及加密对底层块映射的影响。具体方案、周期与结果，需基于实际介质检测后确认，不承诺恢复率或预设价格。