c3rb3r-rescue 開源工具完整解密約 49GB GitLab 備份

快科技10月30日消息，针对近期群晖NAS勒索软件攻击事件，有安全研究人员在GitHub上发布名为c3rb3r-rescue的开源项目。

该项目基于实证的内存取证与副本解密复原方法，成功还原了10月24日近49GB的GitLab每周备份文件，恢复了80个项目、23名用户、16个群组和超过9000个LFS对象，为遇到同类勒索攻击的企业与系统管理员提供了极具参考价值的实战应变指引。

c3rb3r-rescue并非C3RB3R家族通用的万能解密程序，而是针对已分析的特定样本与文件格式建立的取证及解密记录，其核心概念在于抢救内存中残留的解密材料，用于解密受灾文件的独立副本。

因此，当设备遭到入侵时，关键在于保住易失性内存，切勿在第一时间直接重启或更改系统设置。

开发者特别提醒，当管理员发现设备遭受勒索攻击时，首要原则是在封锁恶意程序继续加密、同时保留管理通道的前提下，以最快速度截取处理程序内存及整机物理内存。

千万不要为了清理恶意程序而贸然结束进程、重启、升级操作系统或加载救援光盘启动，因为主机一旦重启或电源中断，内存中的易失性密钥将彻底丢失，后续的取证与还原程序也将完全失效。

在PVE虚拟化环境的实测中，团队在维持系统运行的状态下，成功在内存残留中提取出一组关键的48字节主要材料。

不过作者强调，这组密钥仅为该特定工作阶段在内存中的残留材料，并非攻击者的通用RSA私钥，因此无法直接跨受害者套用。其他受害者仍须从自己机器的内存中提取对应密钥，或在独立副本上进行比对验证。

解密过程中，团队通过这组密钥配合五组已知明密文逐字节比对验证，成功将10月24日约49GB的每周备份完整解密，并在隔离环境的同版本GitLab中顺利恢复出80个项目、23名用户、16个群组及9253个LFS对象，其代码库、Secrets机密变量、附件与CI/CD Artifacts均通过完整性校验，Web登录页面也正常响应HTTP 200。

c3rb3r-rescue项目已在GitHub开源发布，内容包括取证流程、自动化解密脚本decrypt_copy.py、多阶段备份校验工具verify_backup.py，并附带可供AI代理协助引导操作的任务技能说明SKILL.md，供安全研究人员与受害管理员参考验证。