Rast gang 勒索变种之一，@weiyepin 据奇虎公司公布的分析报告，使用生成模型解密成功

3306-1

来源：https://www.360.cn/n/12998.html
来源：https://www.solarsecurity.cn/family.html?id=32
来源：https://www.52pojie.cn/thread-2126205-1-1.html
受害：weiyepin
解密：weiyepin
生成：大语言模型

分析：北京奇虎科技有限公司‌
解密：北京奇虎科技有限公司‌
分析：思而听（山东）网络科技有限公司

解密者描述

1. 密码是 1
   
2. 
   
3. 中毒原因：
   
4. 
   
5. 当时在公司用的一台弱口令的笔记本上远程家里的电脑
   
6. 
   
7. 下办公电脑没关，晚上这台笔记本被攻击到了
   
8. 
   
9. 顺带把远程着的电脑给一并感染了

复制代码

1. 去年电脑中的 .[[Ruiz@firemail.cc]].peng 已经自行解密了
   
2. 
   
3. 首先感谢 360 安全团队的发现
   
4. https://www.360.cn/n/12998.html
   
5. 
   
6. 借此我利用AI模型写了个解密程序
   
7. 程序不难主要是密钥流文件的算出
   
8. 
   
9. 单依靠勒索病毒加密已知缺陷还不够
   
10. 还得需要有被加密前的部分原文件进行配合推算
    
11. 
    
12. 我那台电脑是去年 7 月份
    
13. 中了 .[[Ruiz@firemail.cc]].peng 格式后缀的病毒
    
14. 
    
15. 第一时间我用别的硬盘对所有已中毒硬盘进行了全盘克隆
    
16. 保留了中毒状态后离线封存，然后对中毒硬盘进行全盘格式化；
    
17. 
    
18. 另外本身被加密的部分文件我有做过备份
    
19. 这个给推算出解密程序密钥流帮助很大。
    
20. 
    
21. 5 月份的时候有找过 360 官方的工作人员做过解密
    
22. 当时是有部分文件因为加密 BUG 没有成功解密
    
23. 
    
24. 现在我用推算出的密钥流已经全部解出来了
    
25. 大家如果跟我情况类似的可以用 AI 模型去尝试解密
    
26. 
    
27. 当然也希望 360 官方能发布
    
28. 可以解密这个勒索病毒的解密大师
    
29. 
    
30. 最后祝大家好运！

复制代码

解密程序界面

1. 选项卡
   
2. 按目录解密
   
3. 按文件解密
   
4. 
   
5. 加密目录
   
6. ｘ：＼ＶＭ虚拟机＼社企系统６
   
7. 通过扫描该目录及子目录下的全部勒索后缀文件
   
8. 
   
9. 输出目录
   
10. ｚ：＼ＶＭ虚拟机＼社企系统６
    
11. 
    
12. 密钥流文件
    
13. ｘｘｘｘ～ｘｘｘｘ，ｔｅｎ（有省略，请以图片为准）
    
14. 
    
15. 加密后缀
    
16. [[～文件名～]].[[Ruiz@firemail.cc]].peng
    
17. 用于还原的原始文件名，留空则追加 .recovered
    
18. 
    
19. 勾选　跳过已完成
    
20. 勾选　允许部分解密
    
21. 勾选　保持子目录树
    
22. 勾选　导出ＣＳＶ日志
    
23. 
    
24. 开始解密按钮
    
25. 
    
26. 解密进度
    
27. ７／７成功，部分０，跳过０，全部完成
    
28. 
    
29. 运行日志
    
30. 启动解密任务
    
31. 已载入密钥流：ｘｘｘｘ字节
    
32. 目录模式，扫描指定目录下全部勒索文件
    
33. 已开启跳过已完成，输出目录中已存在的文件将自动跳过，下次解密不必从头开始
    
34. 日志已经导出：ｚ：＼ＶＭ虚拟机＼社企系统６＼解密报告．ＣＳＶ

复制代码

奇虎分析简述

1. 出道即巅峰
   
2. 
   
3. 自 2025 年 6 月首次现身以来，Wmansvcs 勒索软件便迅速跻身国内最为活跃的勒索软件之一，其感染量更是长期稳居前二。
   
4. 
   
5. 在传播中，该团伙展现出了高度明确的攻击意图。
   
6. 其高度聚焦国内用户，通过远程桌面协议（RDP）弱口令手段，对特定 IP 进行长期定向投毒与横向渗透。
   
7. 该家族目前主要演化出 " .peng " 与 " .wman " 两个后缀分支。

复制代码

1. ～节选
   
2. 
   
3. 数据解密
   
4. 
   
5. 由于该勒索加密算法逻辑存在缺陷，我们的安全团队开发了专用的解密工具并实测成功。

复制代码

1. ～节选
   
2. 
   
3. 随后生成加密文件用的随机密钥，其中包含了 32 字节的 ChaCha20 密钥和 8 字节的 nonce 值。
   
4. 
   
5. 如前所述，勒索软件对文件的加密采用了 ChaCha20 算法。当文件大小小于等于512KB（0x80000）时，进行全文件加密，大于 512KB 则只加密文件的前 512KB 内容。而 " .peng " 这一分支对超过一定大小的文件，采用分块加密，该变种也仅加密文件头部的 64KB（0x10000）。

复制代码

1. ～节选
   
2. 
   
3. 该分支这种分块加密逻辑，通常被称为“ 稀疏加密（Sparse Encryption）”或“ 关键部位加密 ”。我们的分析人员推测，勒索软件作者使用该加密策略主要出于两个考量。
   
4. 
   
5. 1. 极高的效率
   
6. 以我们测试的被加密文件为例，文件大小约 2.67MB，而实际被加密的 3 个区块总共只有约 192KB。，实际加密比例仅为 192 / 2671 ≈ 7.2%。
   
7. 这意味着加密和解密速度极快，尤其对于服务器上的数据库类大文件，几乎是瞬间完成。
   
8. 不需要遍历整个文件，只需要通过 fseek 指针跳转三次，这极大提升了加密速度，对硬盘 IO 压力也极小。
   
9. 
   
10. 2. 针对特定格式的破坏
    
11. 
    
12. (1) 文件头
    
13. 确保文件“ 打不开 ”。
    
14. 
    
15. (2) 中间块
    
16. 确保文件“ 看不全 ”。
    
17. 
    
18. (3) 文件尾
    
19. 确保文件“ 无法索引 / 无法跳转 ”。
    
20. 
    
21. 无论文件是 1MB 还是 1GB，它都能确保加密的是“ 头、中、尾 ”三个关键部位。
    
22. 
    
23. 文件及数据加密完成后，勒索软件会释放文件名为“ DECRYPTION_INFORMATION.html ”的勒索信。

复制代码

索勒数据库对该勒索简述

1. id
   
2. 21
   
3. 
   
4. virus family
   
5. 32
   
6. 
   
7. created at
   
8. 2024-12-02 15:23:31
   
9. 
   
10. updated at
    
11. 2026-04-28 11:44:15
    
12. 
    
13. 病毒家族
    
14. Rast gang
    
15. 
    
16. 加密后缀：
    
17. .peng　　＜＜＜本次命中
    
18. .sstop
    
19. .wstop
    
20. .wman
    
21. 
    
22. 勒索信息：
    
23. readme.txt
    
24. INFORMATION.txt
    
25. DECRYPTION_INFORMATION.html
    
26. fe33b06897e2478a2f4f5e32c377e12b_0_8.txt
    
27. 
    
28. 常用邮箱：
    
29. Rast@airmail.cc
    
30. Ruiz@firemail.cc　　＜＜＜本次命中
    
31. Fat32@airmail.cc
    
32. BitCloud@cock.li
    
33. user1@email.com
    
34. Hoeosi@airmail.cc
    
35. MyFile@waifu.club
    
36. backup@waifu.club
    
37. BaseData@airmail.cc
    
38. Qyxugani@airmail.cc
    
39. hashtreep@waifu.club
    
40. dataserver@airmail.cc
    
41. 
    
42. Rast Gang 勒索病毒是由 Rust 语言编写的一款勒索软件
    
43. 自 2023 年 12 月起在国内活跃，主要针对政企单位实施攻击。
    
44. 
    
45. 截至 2024 年 9 月，该病毒已迭代至第三个版本。
    
46. 攻击手法多采用暴力破解与 Nday 组合的方式进行入侵。
    
47. 
    
48. 攻击者通过 RDP 暴力破解和已知漏洞（Nday）组合入侵边界服务器，获取权限后立即释放勒索软件，不追求内网横向移动。
    
49. 投递组件包括删除系统日志、强制卸载安全软件、窃取凭证等恶意工具，并利用 Neshta 感染型病毒作为 Dropper 执行加密流程。
    
50. 
    
51. 新版本的 Rast 勒索软件启动后会显示一个控制台界面
    
52. 需要攻击者手动操作才能启动勒索流程
    
53. 
    
54. 该逻辑奠定了 Rast gang 的攻击基调：
    
55. 犯罪团伙必须要 RDP 登录到目标服务器上手动操作才能运行勒索。

复制代码

Sanuser

点赞

weiyepin

你想干什么？特地找回我的账号来评论你

3306-1

weiyepin 发表于 2026-9-29 10:19
你想干什么？特地找回我的账号来评论你

没有做什么，帖子开头明确署名和链接，分类为其他相关
主要是被勒索解题思路和感染分析过程很精彩，仅供参考

然后补充／引用了索勒公开数据库查询，奇虎公开分析的节选
方便在阅读／遭到该勒索家族时，参考大佬好运做法行动方案