分类目录归档：勒索恢复

.bres勒索病毒加密数据库dmp文件可恢复

发表于 2026 年 10 月 5 日由惜分飞

近期.bres勒索病毒较多,加密文件名称一般为:原始文件名.id.bres

勒索信息为:id.readme文件

一般是勒索5000或者7500美元.通过我们对加密的oracle数据库文件和dmp的逻辑备份分析,确认该病毒对于两种类型的文件破坏比例不一样
一、对于bres勒索病毒数据库层面恢复探讨
1. 对于dbf/ora类型文件破坏比例非常大,达到1/3左右,而且还是间隔加密,对于这种情况,基于数据库文件基本上没有太大恢复价值,但是我们也遇到一些客户,由于某些原因导致这类病毒加密文件没有全部完成(数据文件被加密中途终止),这样的情况下，可以恢复没有被破坏的block中数据.

2.对于exp/expdp备份出来的dmp文件,该病毒一般只是加密前面30M的block,后续其他block全部是完整的,可以恢复出来后续数据,整体数据丢失较少,如果有历史完整的备份,可以实现较为完整的恢复效果

二、病毒入侵渠道与内网扩散逻辑
.bres病毒主要有四类入侵入口，其中内网共享权限漏洞是最高发渠道。
第一，共享存储与NAS弱口令入侵。工贸企业、工程公司大量使用NAS存放图纸、合同，为方便异地办公，直接开放外网访问，账号密码长期不修改。黑客会批量扫描公网设备，尝试默认密码登录，拿到权限后植入后门程序，长期潜伏在内网。这也是.bres最标志性的入侵方式，区别于其他病毒以钓鱼邮件为主要入口。
第二，钓鱼邮件投递。伪装成供应商对账函、项目验收单、物流通知单，压缩包内放置恶意程序。员工解压运行之后，木马悄悄植入电脑，建立持久后门，为后续内网横向扩散铺路。
第三，RDP远程桌面爆破。部分小微企业为远程管理服务器，3389端口对外暴露，使用简单密码。黑客利用工具批量爆破账号密码，登陆服务器投放病毒载荷。
第四，根据我们近期恢复的一些case，大量是同一个软件厂商的软件在不同客户现场几乎同一时间被勒索加密,怀疑可能是由于应用某组件有漏洞被黑客利用进行攻击,建议加强应用版本管理,及时更新应用修复漏洞。

发表在勒索恢复 | 标签为 .bres加密dmp恢复 | 留下评论

.[xueyuanjie@onionmail.org].AIR勒索加密数据库恢复

发表于 2026 年 4 月 25 日由惜分飞

一家医院运行在win上点电子病例的Oracle数据库被加密成扩展名为:.[xueyuanjie@onionmail.org].AIR

通过obet工具对损坏文件的数据块进行检测（obet实现对数据文件坏块检测功能）

通过分析,该数据库被加密破坏了前面32个block(其中第一个为block 0,正在涉及数据文件中有效的block为31个),这个是oracle 11g版本,业务数据从block 128开始存储（被损坏的前面31个主要是文件头和数据文件中数据块分配的位图信息,不涉及业务数据）,因此对于这种情况直接使用OraFHR工具进行对文件头重构(Oracle数据库被勒索加密一键open工具–OraFHR)

然后重建ctl并打开库（这些脚本orafhr会自动生成）

SQL> startup nomount pfile='d:/pfile.txt';
ORACLE 例程已经启动。

Total System Global Area 4275781632 bytes
Fixed Size                  2288080 bytes
Variable Size             939525680 bytes
Database Buffers         3321888768 bytes
Redo Buffers               12079104 bytes
SQL> @rectl

控制文件已创建。

SQL>
SQL> alter database open resetlogs;

数据库已更改。

SQL> create tablespace expdptbs datafile 'H:\TEMP\oradata\emr\expdptbs01.dbf' size 32M autoextend on;

表空间已创建。