.satan勒索病毒加密文件恢复手记

  Satan Cryptoy 勒索病毒，好郁闷了，所有文件后缀加上了.Satan，查日志凌晨3点，数据库全毁，连同DUMP文件后缀的被改成.Satan 加密了，勒索对话框提示支付0.5比特币。

  我说说我这边分析和恢复情况。

  我们的数据库都是每天做DUMP的，从加密DUMP文件分析，发现这个病毒有个很神奇的地方：

  1、对于大文件，并不是全文件加密，比如10G文件，他可能砍断成为4G文件，加密部分也只是一段，但剩下6G内容就不见了。

  2、加密部分未必是文件本身的，比如有两个文件A和B，A加密部分来自于B的。

  综合上述，网上有技术人员说加密文件没办法恢复不无道理。从我分析的情况来看，即使给作者比特币也无法恢复的。

  我解密了DUMP文件，发现加密部分的源内容应该是其他文件，现在即便解密，也无法恢复数据库。

  不过我整理服务器发现，有个DUMP文件没有加密，而加密的全库DUMP，只剩4G文件，不过好在需要的部分没有加密（新增数据，幸好不多），哦，yeah。

  so，你懂得，把需要的表二进制内容dump出来重新做出新dump，恢复成新数据库，收工。