凌晨3:05，黑客摸进来干活；早上10:37你去上班，NAS里8.45万个文件全拖了一条尾巴——.L0CK3D后缀。小红书
换谁第一反应都是：断电、重装、杀毒，把机器洗一遍重来。摄影工作室老板"本杰明"在复盘里写了三个"严禁"：严禁关机、严禁重启、严禁运行杀毒软件——你一断电，内存里那把唯一能救回文件的钥匙，就跟着病毒一起蒸发了。小红书
这轮C3RB3R给每个文件都配了独立密钥的ChaCha8加密，硬算"破解"没戏。但"钥匙的钥匙"（一组会话密钥）只在加密进程运行期间躺在它的内存里。想一分钱不花把文件捞回来，只能趁进程还没跑完动手——冻结它，读它的内存，取出密钥，这一轮加密的文件就都能还原。知乎
本杰明就是这么干的：SSH登进去，发现伪装成系统文件`/usr/bin/libgld`的加密进程跑了7.5小时居然还没退出，`kill -STOP`当场冻结（绝不能kill -9），从`/proc/PID/mem`导出内存、提取会话密钥，8.45万个文件全部解开，抽样与原件逐字节一致。整套流程和工具开源成了`c3rb3r-baremetal-rescue`。另一个开源项目c3rb3r-rescue用内存取证解开了某公司10月24日近49GB的Git备份——80个项目、23名用户、9253个LFS对象，完整性校验全过。小红书知乎
窗口是碰运气的。数据量大，你才可能撞见"加密到一半"；量小，几分钟就全部加密完，根本来不及——solar应急响应团队提醒，加密进程一退出、内存被系统回收，这条路基本就封死了。钥匙还得一机一份，取的是加密进程留在你自己机器内存里的那组密钥，换台机器就得重取。有网友还发现恶意进程改名成了`busybox`，连进程都定位不到。所以用这些工具有红线：只在隔离环境跑，先备份密文（保留源文件），单文件测试并真正打开验证，别拿唯一一份数据直接批量。知乎
已经重启过、断电过呢？内存这条路大概率没了。群晖官方目前也没有通用解密办法。手里只剩三件事：保留现场、备份密文和勒索信、等新工具——用一位中招老板的话说，等官方兜底“希望较渺茫”。知乎小红书知乎知乎
勒索站点是门全自动生意。传个1MB以内的样本，先免费给你解一个文件。密钥是真有、文件底层没损坏；报价按人开，本杰明被报0.03696 BTC（约2.1万元），5天倒计时一过直接翻倍。国内某数据恢复服务商开价2.6万"救你"，实际逻辑被abomb说穿了：不过是代你联系黑客讲价拿密钥，赚一笔通道费，“目前并不存在可以破解加密的成熟技术”。知乎知乎小红书
这批开源工具也只对应"这一轮"的样本——黑客一旦换样本、改内存布局，工具就集体失效。应急恢复是止血带，不是医生。真正保命的还是那台机器之外的老装备：离线冷备，只读快照。
