序言
很多企业对勒索病毒的认知停留在“单点电脑中毒”的层面，认为只要管好单台终端，风险就能控制在局部。数据安全问题刻不容缓，您可添加我们的技术服务号（huifu234），我们将第一时间为您提供专业的解决方案，保障您的数据安全。在多轮样本实测中，标记为[mailto:xueyuanjie@onionmail.org ].AIR的勒索变种，最值得警惕的地方，恰恰是它能从一台普通办公主机作为突破口，顺着内网权限通道快速放大灾情。大量现场案例证明，灾难升级往往不是病毒本身的加密能力造成，而是操作人员看到文件异常之后，下意识执行重启、全盘查杀这类操作，直接抹除内存取证痕迹、唤醒持久化载荷，让原本局限在单机的感染向内网蔓延。本文依托沙箱实测与现场复盘，从一台前台办公机的中毒案例切入，由小见大拆解它的行为特征，重点剖析盲目重启、杀毒带来的不可逆数据损伤，延伸到整套内网防护体系的短板整改思路。
一、单机案例复盘：从一台普通电脑到内网险情
这是一个典型的小微企业真实场景。业务前台主机，员工下载了一份客户发来的压缩包，解压运行后没有立刻出现明显报错，电脑后台静默加载AIR载荷。半小时之后，桌面文档、台账表格开始陆续变更文件名，末尾追加该变种专属标记，目录内同步生成勒索说明文件。 员工第一反应是系统卡死、病毒发作，直接按下主机重启键，重启完成后立刻打开终端防护软件启动全盘扫描。 就是这两步常规操作，直接改变事件走向。重启动作清空内存中正在运行的进程、内网会话缓存、临时密钥片段；病毒预设在计划任务、注册表的持久项在开机自动拉起，重新扫描同网段SMB共享，抓取本机缓存账号凭据。安全软件在扫描时，只清除本地的恶意主程序，无法切断已经建立的共享访问会话，子载荷已经悄悄投递到NAS和另外两台设计工作站。等到运维发现共享盘文件陆续异常，加密范围已经从单点扩散到业务存储。 沙箱复测样本时可以复现该行为：AIR内置重启检测钩子，捕获系统重启信号时，会优先触发一轮快速内网扫描，批量枚举映射驱动器与存活主机。
二、[mailto:xueyuanjie@onionmail.org ].AIR 实测行为特征
2.1 投递与潜伏阶段实测观察
该变种常依托钓鱼压缩包、伪装图纸文档的可执行文件进入终端，也可通过弱口令RDP、共享漏洞横向投放。进入系统后不会立刻启动加密，优先执行侦察任务：枚举全部盘符、网络映射盘、USB移动介质，读取凭证管理器、浏览器保存账号，导出本地登录哈希。 实测可以观察到，它会尝试删除卷影副本，破坏系统快照恢复能力，同时写入多处持久化点位：注册表Run键、定时任务、服务项，部分样本会修改防火墙出站规则，维持和远端C2通道。潜伏窗口从几十分钟到数小时不等，期间没有弹窗告警，资源占用控制在较低水平，不容易通过任务管理器简单识别。
2.2 加密筛选规则实测记录
AIR不会无差别加密全部文件，自带黑白名单机制，跳过系统目录、驱动、程序执行文件，定向瞄准业务高价值文件：Office文档、PDF合同、CAD图纸、数据库导出备份、项目素材。加密完成后修改文件名，附加唯一ID与xueyuanjie@onionmail.org联系邮箱标记。 实操识别要点：不要只看后缀，部分半加密状态下，文件后缀暂时不变，但文件头部校验码异常，打开直接提示损坏。很多人误判为硬盘坏道，继续反复打开、复制测试，进一步扩大污染范围。
2.3 横向移动能力实测
拿到单机凭据之后，AIR会主动扫描网段内445、139端口，尝试用抓取到的账号密码访问共享资源。在没有网段隔离、账号复用、共享权限放开的内网，它不需要新漏洞，依靠合法凭据完成漫游。沙箱组网测试中，三台同网段、共享互通的主机，在单点中毒、未及时断网的前提下，15分钟内就能完成跨主机投递。
重要提醒：数据加密勒索事件频发，预防胜于治疗。如需防护建议或已中招求助，请立即添加我们的技术服务号（huifu234）获取专家支持。
三、核心重点实测拆解：重启、全盘杀毒为什么造成永久数据破坏
很多人把重启、杀毒当成标准处置动作，实测场景下，这两项操作带来两层不可逆伤害，也是本次复盘的核心。
3.1 盲目重启的伤害
第一，内存易失性证据永久丢失。内存中保留着正在运行的恶意进程、已经建立的内网TCP会话、临时密钥碎片，这些是溯源入侵入口、定位已经被悄悄投递载荷的其他终端最关键线索。重启之后，内存全部清零，后续溯源只能依靠磁盘静态日志，很多痕迹已经被病毒提前清理。 第二，触发持久化机制自动复活。AIR的持久化条目在关机重启后自动加载，唤醒内网扫描模块，继续遍历共享盘、其他工作站。部分样本内置触发逻辑，检测到系统重启，会提高加密线程优先级，加速剩余文件加密。 第三，无法终止已经投递出去的子进程。如果在重启前，病毒已经把子载荷放到其他联网终端，重启本机只能清除本机主程序，其他主机上的恶意代码不受任何影响。
3.2 盲目全盘杀毒的伤害
终端安全软件的查杀逻辑，是识别恶意程序特征码，隔离或者删除恶意exe、脚本。实测发现它存在明显局限：查杀动作无法主动断开已经建立完成的SMB共享会话，已经下发到NAS、其他电脑的载荷会继续运行。 同时，全盘扫描会持续向磁盘写入隔离记录、缓存日志、病毒样本备份，这些写入操作会覆盖磁盘上还没有被覆盖的原始文件残留扇区。对于后续的数据恢复来说，原始文件碎片一旦被覆盖，恢复窗口直接消失，属于永久性损毁。 还有一个容易忽略的连锁风险：查杀完成之后，运维直接把电脑接回内网，账号没有重置、漏洞没有修补，攻击者依靠之前拿到的凭据，再次接入内网。
四、单机中毒后的标准化实操止损流程（实测验证可用）
整套流程的核心原则：先冻结传播链路，保留现场，而不是清除病毒。 第一步，物理隔离。优先拔掉网线，关闭Wi-Fi，单纯在系统里禁用网卡存在局限，部分驻留进程可以维持已经建立的共享会话。不要关机、不要重启，保持主机原始状态。 第二步，全域断开共享映射。通知内网所有工位，手动断开电脑上的网络驱动器映射，右键取消挂载，阻断AIR通过共享跳转的通道。 第三步，现场固定取证。使用另外一台干净手机或者离线笔记本，拍照记录勒索文档、进程列表、计划任务、共享目录清单，导出系统安全日志、登录日志。禁止在中毒主机上截图、复制文件，避免写入新数据。 第四步，可疑终端隔离排查。在内网用扫描工具排查同网段存活主机，查看短时间大量文件修改、异常登录记录，提前隔离可疑设备。 第五步，账号全量轮换。内网所有主机、NAS、业务系统、数据库账号统一更换独立密码，清理浏览器保存凭据，防止凭据复用带来二次渗透。 第六步，交由专业人员做样本分析，不要自行尝试网上各类解密工具，避免二次投放恶意程序。
五、由点到面：从单机案例延伸至企业内网防护整改
一台前台电脑中招，暴露的是整套内网架构的短板，单点加固意义有限，需要同步落地分层管控。 第一，收敛外部入口。RDP、SSH等远程端口禁止直接暴露公网，远程运维统一走VPN；定期做钓鱼培训，来源不明的压缩包禁止在业务终端解压，设置邮件附件沙箱检测。 第二，内网分段隔离。把办公网段、财务网段、存储NAS网段分开，不同网段默认阻断互通，只放行必要业务访问。NAS存储只开放给指定运维IP，不对全体员工开放读写权限。这是限制AIR横向扩散最有效的手段。 第三，权限最小化落地。普通员工账号不分配本地管理员权限，共享文件夹按岗位分配只读、读写权限，取消“所有人完全控制”；开启共享访问审计日志，设置告警，监控短时间大批量文件读取行为。 第四，备份体系独立隔离。备份存储放到独立网段，离线备份介质轮换使用，同步完成后抽样校验文件可用性。AIR会优先寻找在线备份盘，在线备份一旦和业务终端同网段，很容易被同步加密污染。 第五，建立统一应急话术与处置清单。明确告知所有员工，发现文件异常，第一动作是上报、断网，禁止自行重启、杀毒、修复硬盘，把错误操作从源头杜绝。定期做小型应急演练，让全员熟悉处置顺序。
六、结语
[mailto:xueyuanjie@onionmail.org ].AIR这个变种带来的警示，远不止单台电脑的加密问题。单点感染只是风险的起点，内网无隔离、权限粗放、员工处置习惯错误，才是把小事故放大成全域灾难的推手。 沙箱实测和大量现场复盘都证明：重启、全盘查杀这类看似正确的操作，在勒索病毒应急场景下，会造成数据痕迹不可逆丢失，加速内网横向渗透。企业防护不能只依靠终端杀毒软件，必须从单点终端延伸到整个内网架构，把隔离、权限管控、应急规范、离线备份组合起来，构建分层防御。 面对这类勒索威胁，判断异常只是第一步，克制住盲目操作的冲动，守住现场、切断通道，才是保住数据、缩小损失的关键。
联络方式：
客服热线：400-1050-918
技术顾问：166-6622-5144 133-1884-4580
技术顾问：176-2015-9934 155-2133-9934
邮箱：91huifu@91huifu.com
粤公网安备 44030502006563号