如何预防和恢复REVRAC勒索病毒攻击

引言
.[TechSupport@cyberfear.com].REVRAC 与 .[OnlyBuy@cyberfear.com].REVRAC 是两种非常典型的定向勒索病毒变种，常见攻击路径通常是通过暴露在公网的 RDP 端口入侵内网，再借助高权限环境直接启动加密程序。更麻烦的是，这类勒索软件家族迭代速度快、加密方式激进，传统依赖特征库的安全拦截方案，很多时候难以及时跟上其变种更新节奏。
本文重点介绍两部分内容：其一，如何利用 Outlook 的 OST 离线缓存机制，在 Exchange 服务器同样遭受攻击的情况下，尽可能从本地电脑恢复完整邮件历史；其二，如何部署 PowerShell 约束语言模式（CLM）。相比单纯限制脚本执行，这种防护方式更深入、更彻底——它直接从语法和运行能力层面限制 PowerShell 调用底层 API 的权限，再结合网络位置欺骗策略，强制系统封堵自身共享端口。数据安全从来不是小问题，处置越及时，数据恢复和风险控制的空间就越大。

一、 REVRAC 的“高强度加密”与“脚本依赖”

对 OST 文件的“遗漏”
REVRAC 勒索病毒在扫描文件时，主要锁定常见办公文档扩展名（.doc、.xls、.pdf 等）。Outlook 的 OST 文件（outlook.ost）通常体积较大，且属于复合型数据库文件。如果 Outlook 在感染时处于开启状态，OST 文件往往会被系统锁定，病毒常常会跳过这个正在占用中的“大文件”，或者仅做简单读取而非直接加密。 脚本加载器的横行
Phobos 家族经常使用 PowerShell 脚本作为加载器，借助其强大的 .NET 调用能力与 COM 对象交互能力，完成下载恶意载荷、关闭安全软件以及执行加密等操作。

二、 数据恢复：抢救“孤岛”状态的 OST 缓存文件

当用户的 Exchange 邮箱被勒索软件加密，或者云端同步数据也遭到破坏时，本地 OST 文件很可能成为唯一可用的数据“孤岛”。

定位 OST 文件
操作逻辑：
OST 文件通常位于 C:Users[用户]AppDataLocalMicrosoftOutlook 目录下。
该文件没有绝对统一的命名规则，常见名称包括 outlook.ost 或 YourName@domain.ost。
判断是否可恢复： 检查该文件的修改时间。如果时间停留在病毒爆发前，且文件大小正常（MB 或 GB 级别），则说明它很可能未被加密，或至少未被完全覆盖。 强制脱离连接与转换
操作逻辑：
物理断网： 在尚未完成病毒清理前，不要启动 Outlook，以免同步机制覆盖本地 OST 数据。
使用修复工具： 运行 Office 自带的 scanpst.exe（收件箱修复工具），尝试修复可能受损的 OST 文件头部结构。
数据导出： 由于 OST 文件通常与原账户强绑定，如果原邮箱账户已无法正常连接，建议使用专业的 OST 转 PST 工具进行转换，例如 Stellar、Kernel 等。
可抢救内容： 成功转换后，通常可以恢复收件箱、发件箱、日历、联系人以及邮件附件。这对于找回保存在邮件中的合同、票据扫描件和业务往来资料尤其关键。 浏览器 Cookie 数据库的“选择性恢复”
操作逻辑：
虽然前文提到了 IndexedDB，但浏览器 Cookie 数据库（Cookies 文件）中同样保存了大量自动登录令牌。
如果 REVRAC 病毒删除了 Cookie 文件，可以使用 Recuva 之类的数据恢复工具开启“深度扫描”，重点搜索时间戳位于病毒爆发前的 SQLite DB 文件。
验证方式： 将导出的 Cookie 导入浏览器后，可尝试访问对应云端网站，确认是否能够免密登录，从而找回进入云端备份的数据入口。
如遭遇不明勒索软件攻击，您可添加我们的技术服务号（huifu234）获取专业指导或紧急救援服务。

三、 预防：强制 PowerShell 约束语言模式 (CLM) 与网络位置欺骗

以往的防御措施大多集中在拦截可疑文件或封锁特定端口。这里我们从运行环境控制与网络感知策略两个层面入手，提升勒索病毒防御能力。

启用 PowerShell 约束语言模式
这是一种非常强力的防护策略，它并非完全阻止 PowerShell 运行，而是大幅削弱 PowerShell 的危险能力。
原理： 将 PowerShell 限制在“约束语言模式”下。在这一模式中，只允许使用核心语言元素（变量、循环、基础运算），同时彻底禁止调用 .NET 类、COM 对象（如 WScript.Shell）以及 Windows API。
部署策略：
环境变量： 配置系统环境变量 __PSLockdownPolicy，值设为 4（最高限制级别）。
组策略： 在 GPO 中启用“打开脚本块日志”，并配合“脚本执行策略”统一进行审计与控制。
防御效果：
REVRAC 的 PowerShell 脚本通常需要调用 System.IO.File 类删除文件，或通过 System.Net.WebClient 下载恶意程序。
在 CLM 模式下，一旦脚本尝试执行 New-Object System.Net.WebClient，系统就会直接报错：“无法在此模式下访问类型 System.Net.WebClient”。
这样一来，勒索脚本会瞬间失去关键攻击能力，沦为无法继续执行的无效代码。 防火墙网络位置欺骗
攻击者往往会利用内网中的“默认信任”机制进行横向渗透与传播。我们可以反向利用系统策略，欺骗 Windows，让其在内网环境中也误判自己处于“公用网络”（例如咖啡厅 Wi-Fi）状态。
原理： Windows 防火墙规则会根据“网络位置”（域、专用、公用）应用不同的安全策略。在“公用”网络模式下，系统默认关闭网络发现、文件共享以及远程桌面（RDP）入站连接。
操作策略：
命令行配置： 使用 PowerShell 强制将所有网络接口的网络类别统一设置为 Public。

先将所有网络配置文件统一列出，然后强制切换为 Public。
Set-NetConnectionProfile -NetworkCategory Public
```
防火墙规则加固：在防火墙高级设置中，针对“公用”配置文件额外添加一条自定义规则，直接拦截所有入站 TCP/UDP 连接，仅保留必要的 DHCP 和 DNS 端口。
防御效果：
即便 REVRAC 已感染其中一台终端，后续通常也会尝试通过 SMB（445 端口）或 RDP（3389 端口）连接同一网段内的其他设备。
但当网络位置被“伪装”为“Public”后，防火墙会默认拦截这类内网连接请求。这样不仅能够有效阻断勒索病毒横向移动路径，也相当于进一步提升了内网隔离与终端防护能力。
结语
面对 .[TechSupport@cyberfear.com].REVRAC 这类高风险勒索病毒，在数据恢复层面，可以利用 Outlook OST 离线缓存的“孤岛”特性，尽可能从本地存档中抢救关键邮件与通信数据，即使云端邮件内容已经受到污染。再从防御层面看，借助 PowerShell 约束语言模式，可以直接切断勒索脚本最核心的系统操作能力；配合网络位置欺骗策略，则能让内网环境自动进入更高等级的防护状态。将客户端缓存恢复、PowerShell 运行环境限制和网络隔离策略结合起来，本质上就是在面对高危勒索软件攻击时，为企业争取更多数据恢复时间与安全缓冲空间。