备份成功≠恢复干净：一起制造业ERP勒索事件的21天攻击链复盘

<h1>备份成功≠恢复干净：一起制造业ERP勒索事件的21天攻击链复盘</h1>

<p>先说结论：备份系统每天报"成功"，和你能从勒索病毒里干净地站起来，是两件完全不同的事。去年我参与处置过一起制造业ERP勒索事件，从攻击者进来到生产库被引爆，前后潜伏了21天。最扎心的不是被加密，是运维从备份恢复完，36小时后二次中招。</p>

<p>那家厂子做汽车零部件，两条产线，ERP挂了基本等于停产。事情过去挺久了，但攻击链的节奏很典型，值得拆开看。</p>

<p><strong>时间线大概是这样的。</strong>攻击者从一封钓鱼邮件进内网，拿到一台普通办公终端，之后没急着动，横向慢慢摸，花了大概三周时间摸清了域控、备份服务器和ERP数据库服务器。第21天动手，顺序很讲究：先干备份恢复点，把备份存储上的恢复点加密或删除，断你后路；再引爆生产库。运维发现时，ERP已经起不来了，第一反应就是从备份恢复。恢复了，系统能跑，大家松了口气。结果不到36小时，再次被加密。原因不复杂——他们恢复的那个备份点，本身就已经带毒了。攻击者在潜伏期就把恶意载荷埋进了被备份的数据里，恢复等于把病毒请回来。</p>

<p>这里要厘清一个概念：容灾备份的核心价值是"能恢复出干净可用的数据"，不是"备份任务成功执行"。这两件事差得很远。备份软件的成功日志，只证明数据从A复制到了B，它不判断B里的数据是干净的还是带毒的。制造业的ERP、MES这类系统，数据库文件常年被写入，备份点里混进恶意文件、被篡改的存储过程、被注入的脚本，备份工具根本识别不出来。</p>

<p>所以问题变成了：你怎么知道手上那个恢复点是干净的？</p>

<p>我们后来给这家客户梳理了一套恢复前的扫描SOP，五步，能落地。</p>

<p>第一步，隔离环境挂载。别在生产网络里直接恢复，先把备份卷挂到一套物理隔离的验证环境里，网络断掉，只做只读挂载。这一步是底线，很多二次中招都是因为图省事，直接往生产环境恢复。</p>

<p>第二步，恶意软件扫描。挂载之后对整个恢复点做全盘扫描，重点看可执行文件、脚本、数据库里的存储过程和作业。普通杀软更新不及时会漏，最好用带行为检测的引擎。</p>

<p>第三步，完整性校验。比对备份点里关键数据库文件的哈希，和上一次已知干净的时间点做对比。文件大小对、哈希对不上，基本就有问题。</p>

<p>第四步，时间点比对。把最近几个恢复点横向拉出来，看文件修改时间、权限变更、新增的可疑账户。攻击者在潜伏期一定会留下痕迹，多个时间点一对比，异常就浮出来了。</p>

<p>第五步，干净恢复点确认。前面四步都过了，才认定这个点是干净的，再走正式恢复流程。这一步确认完，恢复才有意义。</p>

<p>这套流程我们测过。对比下来发现，光靠备份软件自带的校验远远不够，得把"备份前检测"和"恢复前扫描"两头都卡住。我们自己的做法是三层：不可变存储（WORM）保证备份写进去就改不了、删不掉，攻击者就算拿到备份服务器权限也动不了历史恢复点；蓝光物理气隙隔离，把最关键的恢复点放到离线介质上，网络根本够不着；备份前恶意软件检测，在数据落盘之前先过一遍。这三层配合起来，才把"备份成功"往"恢复干净"上推。中科热备在这块做的就是这个思路，热备云平台上把不可变存储和气隙隔离做成了默认策略，不是选配。制造业客户对这类离线保护的接受度，比纯在线方案高得多。</p>

<p>但得说句公道话，这套扫描会拖慢恢复。隔离挂载、全盘扫描、多时间点比对，每一步都要时间，原本可能两小时能起来的系统，加上扫描可能变成半天甚至更久。RTO和"恢复干净"之间是有取舍的。产线停一分钟都是钱，有些客户会倾向于先恢复再说。我的建议是分场景：核心生产库、ERP这类，宁可多花几小时也要扫干净；边缘的、非关键的，可以放宽。这个权衡没有标准答案，得按业务重要性来定。</p>

<p>回到那家厂子，二次中招之后他们停了两天做彻底清查，损失比第一次大得多。后来复盘，最大的教训不是没备份，是没验证过备份能不能干净恢复。备份系统天天报成功，没人想过恢复点里可能带毒。云灾备、异地容灾这些词听着都对，但落到执行层，恢复前的验证环节才是真正决定生死的那一步。</p>

<p>作者：王翰文</p>

<p>发布日期：2026年10月29日</p>