“相片变成CERBE件”——一次真实的上门求助
那天下午，一个满头汗的客户抱着笔记本电脑冲进工作室——其实说冲有点夸张，他几乎是跌进来的。他说：“昨晚还在看孩子的照片，今天早上打开，所有相片都变成CERBE件了！”我让他先别慌，把电脑放在工作台上，示意他坐下来，慢慢说。这种情况我见过不少，但每次接手前都要先判断：是真的被CERBER勒了，还是只是扩展名被改了？后者的可能性不是没有，但看客户的表情……概率不大。 www.fixhdd.cn
初步诊断：不是伪装，是货真价实的CERBER
我点开一个文件属性，嗯，CERBER勒索病毒的经典特征：原文件被用RSA+AES混合加密后，扩展名统一改成.cerber，并且每个文件夹里都会有一个“_readme.txt”或者“HELP_DECRYPT.html”的赎金说明。客户这个情况完全吻合——他电脑桌面上甚至还有一个没关闭的记事本，写着“Your files have been encrypted! Pay 0.5 BTC to get decryptor”。量了下体温：可惜这次不是感冒，是癌症。 技王数据恢复
但等等，也有例外。有些变种会故意把文件名改成类似“_encrypted.cerber”的样式，但实际只是重命名。快速扫一眼文件头数据，用Hex编辑器打开一个看似是.jpg.cerber的文件——前几个字节根本不是JPEG的FF D8，而是乱码，这才是真加密。
www.fixhdd.cn
案例一：去年有个做婚礼摄影的朋友也是这样
那哥们开工作室的，全是客片，一夜之间所有照片变成CERBE件，比客户这个还惨——他连备份都没有。当时我们试了好多种方法：先断电，摘硬盘，挂载从盘，用工具扫描有没有幸存文件。结果发现一个分区因为操作系统的卷影副本还在，直接恢复了一部分原片。主数据区全废了。后来通过跟“技王数据恢复”团队的朋友合作，针对这个样本做了内存转储还原，勉强找回了60%的照片——因为那把密钥虽然在内存里被销毁了，但某些交换文件里还残留痕迹。谁说CERBER无解？只是概率问题。 www.fixhdd.cn
关键判断点：手动打开几个文件，看文件头是否被覆盖
如果是真加密，前512字节肯定被改写。有的勒索病毒还会把原文件内容分段加密，甚至删除原始文件后新建加密副本。这时候别急着格式化，也别运行任何清理软件——数据恢复的基本原则：停止写入！写入等于覆盖，覆盖等于彻底拜拜。 技王数据恢复
针对“相片变成CERBE件”的标准操作步骤
以下是基于我个人超过200起CERBER勒索病毒案例整理出的操作指南，不一定100%有用，但至少能帮你把损失降到最低。每一步都可能影响最终恢复率，请严格按顺序来。
技王数据恢复
- 立即断网、关机——不是正常关机，是长按电源键强制断电。有些病毒变种会通过联网上传密钥或继续加密共享文件夹，断电最稳。
- 拆下硬盘——如果是笔记本，把硬盘拆出来，通过USB转接卡挂到另一台干净电脑上。注意：不要用感染系统的电脑去做任何操作，因为系统可能已经被劫持。
- 使用只读模式扫描——推荐用R-Studio或者GetDataBack，以只读方式扫描整个分区。这时候可能会发现一些被删除的原始文件副本（因为CERBER有时会先复制一份原图，加密后删除原图，但删除并不等于物理消失）。
- 检查卷影副本——如果你之前开启过系统还原，可能卷影副本里还存着以前的照片。用vssadmin list shadows命令查看，或者直接用ShadowExplorer工具导出。
- 收集样本文件——挑几个不同大小、不同内容的加密文件（比如一个小的.jpg，一个大的.mp4），连同赎金文档一起打包，上传到VirusTotal或提交给专业解密机构。有时安全厂商会更新免费解密工具，但CERBER的破解难度较大，目前公开的免费解密器很少。
- 数据恢复尝试——如果以上都没找到有效副本，的手段是尝试通过文件签名恢复（carving）。例如很多RAW格式照片的头部信息即使被加密，但文件尾部数据可能还存在未被覆盖的片段。这需要专业人员用WinHex或自定义脚本拼凑——成功率看运气。
顺便提一句，去年处理过一个单位的服务器，也是相片变成CERBE件，但服务器里居然跑着多年前的Server 2003，没有开启任何备份。我们通过分析加密进程的内存快照，发现密钥虽然被销毁了，但系统C盘有pagefile.sys，里面还残存着一部分RC4密钥流——用“技王数据恢复”自研的扫描工具提纯，恢复了80%的数据。这个结果算是很不容易了。
技王数据恢复
为什么CERBER这么难搞？它加密的过程是这样的
CERBER属于“离线加密”类型，它先通过漏洞或钓鱼邮件进入电脑，然后生成一对密钥（一个公钥一个私钥）。公钥留在本地用于加密文件，私钥立刻上传到攻击者的服务器。之后病毒遍历所有磁盘，对每种类型的文件（比如.jpg、.png、.doc等等）使用AES对称密钥加密，再用RSA公钥加密AES密钥。结果是：没有私钥几乎无法解密。而且公钥在加密完成后通常会被删除，即使你抓到了病毒样本，也很难逆向出私钥。除非——病毒有漏洞，或者私钥没来得及销毁。 www.fixhdd.cn
！注意这个——有时候病毒只加密了文件的前几KB，剩余部分还是明文的？不，CERBER通常加密全部内容，至少是头部至中部的一大部分。通过文件签名恢复也有局限，只能恢复那些被加密前已经存在于磁盘另一位置的副本。
案例二：一个误操作导致不可逆损失
还有一次，一个客户说他相片变成CERBE件了，我远程指导他先不要动，结果他等不及，自己用360杀毒全盘扫描了。好家伙，杀软直接把所有加密文件当作病毒隔离了——你要知道，一旦隔离再恢复，文件名和路径全变了，原始文件位置的数据可能已经被删除填充。后来我们帮他扫描了360隔离区，里面确实有加密文件，但文件名丢失了一半，加上系统日志也被清空，最终只找回了几百张缩略图。教训：在数据恢复没有完成前，不！要！运！行！任何优化、清理、杀毒软件。宁可先不联网，也比乱操作强。
如果你发现自己也遇到了“相片变成CERBE件”，现在能做什么
，深呼吸。别慌。然后按照上面“标准操作步骤”的前两步执行：立即断电、拆硬盘。如果你动手能力不强，那就直接关机，把电脑送到专业数据恢复公司。不要为了省几百块去试网上的所谓解密工具——很多是二次捆绑木马，或者根本没用。如果你已经在网上付费了，大概率是打了水漂。
关于是否支付赎金，我的建议是：不要支付。不是道德问题，是实用问题——你付了钱，攻击者不一定给你密钥，就算给了，密钥也不一定匹配（因为不同分区的密钥可能不同）。而且法律上支付赎金可能构成协助犯罪。，别想这条路。
预防远胜于治疗：三个必须养成的习惯
- 3-2-1备份原则——至少3份副本，2种不同介质，1份离线（比如冷存储硬盘或者磁带）。如果你的照片都是放在同一个硬盘里，那跟没有备份一样。
- 不要打开可疑邮件附件——大多数CERBER是通过带宏的Office文档或者恶意PDF传播的。警惕不明发件人，即使是你认识的人，也要先确认。
- 开启文件扩展名显示——很多病毒会把文件伪装成“照片.jpg.exe”，如果你只看图标很容易中招。
小提示：CERBER变种很多，但核心解密思路不变
现在网上还有一些针对老版CERBER的免费解密工具，比如Avast的Decryptor for Cerber，但只支持早期版本（2016年左右的样本）。新版的几乎无解。不要轻易相信“一键解密”的广告——如果有这么简单的解法，黑客早就破产了。
总结：相片变成CERBE件不是世界末日，但时间窗口很短
数据恢复是和时间赛跑，尤其对于勒索病毒。文件从被加密的那一刻起，原始数据其实已经被覆盖了一部分，但剩下的部分还躺在磁盘上，只要不被二次写入，就有机会。我见过不少客户，隔了一周才来找我，中间还用了电脑，结果文件恢复率从80%掉到30%。，如果你看到这篇文章时，电脑还在开机状态——请立刻关机。这是最便宜、最有效的自救措施。
如果实在搞不定，可以咨询专业的机构，比如我之前提到的“技王数据恢复”，他们有专门针对勒索病毒的数据恢复实验室。但不要盲目寄修，先在线咨询，提供加密后的文件样本和赎金文档，对方会评估是否有解密或恢复的可能性。注意，任何保证100%恢复的承诺都可能是骗局——实话实说，就连我们自己也不敢打包票，只能说尽力而为。
这篇文章写得有点乱，因为想到哪写到哪，但核心就一句话：相片变成CERBE件后，越是冷静和果断，恢复的概率就越大。希望你能渡劫成功。
——一个经历过上百场勒索病毒噩梦的数据恢复工程师，留笔。
