Wman勒索病毒解密成功案例——天津市某医院HIS/LIS/PACS全院系统90TB数据48小时应急恢复

事件背景

2026年4月28日，天津市某医院全院系统遭遇Wman勒索病毒攻击。HIS（医院信息系统）、LIS（检验信息系统）、PACS（影像归档与通信系统）、手麻系统等核心业务系统全部沦陷，所有文件扩展名均被修改为.Wman后缀。由于医院数据涉及大量公民个人信息，该事件按照网络安全等级保护（等保）要求严格处置。

Wman勒索病毒加密特征

感染后，所有文件扩展名均变为.Wman后缀。与常见勒索病毒不同的是，Wman病毒还会在每一个文件名后附加一串随机数字和黑客邮箱地址yatesnet@cock.li。部分变种可能使用另一邮箱dawsones@cock.li，两者属于同一黑客组织。

▲ 文件扩展名变为 .Wman，文件名附加随机数字与黑客邮箱

▲ Wman病毒变种使用不同邮箱地址，均属同一黑客组织

应急响应流程

制定方案——等保合规先行

因医院数据涉及大量公民隐私信息，黑客入侵可能对公共事业造成严重影响，按照等保条例，本次恢复过程严格遵循等保要求执行。接到求助后，云天数据恢复中心立即启动了最高级别应急响应：

1. 远程紧急会议——第一时间与院方团队商定应急措施并立即切断全院网络，阻止病毒进一步扩散
2. 应急团队赶赴现场——安排资深工程师团队当日抵达医院现场开展工作
3. 警方联动——客户报警后网安到场取证，我司工程师全程提供技术支持，协助完成电子数据勘验
4. 溯源分析——网安取证结束后协助客户进行深度溯源，成功定位到黑客攻击源头及入侵路径
5. 制定救援方案——经院方专项会议审议通过后，正式开展数据救援与临时环境搭建工作

恢复过程：分系统攻坚

一、HIS系统——12小时生死时速

HIS系统是医院运转的中枢神经，门急诊挂号、收费、医嘱、药房全部依赖它。该系统采用Oracle 11g数据库，数据库物理文件（DBF）和逻辑备份文件（DMP）同时被加密，且备份一体机和群晖备份均已沦陷——这意味着没有任何可用的历史备份。

▲ Oracle备份DMP文件被加密后的十六进制底层数据——文件结构完全不可读

在与HIS原厂进行深度技术沟通后，云天数据恢复中心制定了针对性的DBF文件解密方案。工程师对加密算法进行逆向分析，结合Oracle数据库的物理存储结构特征，成功在院方要求的12小时内解密了被加密的DBF文件。

Oracle数据库OPEN无报错，新建HIS应用直接连接数据库，应用运行无异常。院方使用人员逐项验证：挂号记录、处方数据、住院医嘱、费用结算——最后一笔业务单据核对无误，数据完整度100%。HIS系统恢复完成，医院门急诊业务即刻恢复运转。

二、LIS系统与其他小系统——快速恢复

LIS（检验信息系统）和手麻系统均采用SQL Server数据库。由于数据库MDF和LDF文件均在30GB以内，加上原厂有最新版安装程序，恢复方案成熟。凭借对医院信息系统的深耕经验，这些子系统在短时间内即完成解密并投入使用，检验科和手术室业务恢复正常。

三、PACS系统——50TB影像数据的精密手术

PACS（影像归档与通信系统）是本次恢复中技术难度最高的部分。该系统存储着医院历年积累的海量病人影像资料（CT、MRI、X光等），数据格式为DCM医学数字影像文件，存储在EMC高端存储阵列上，总容量接近50TB，且全部为小文件。

面临的核心挑战：50TB小文件解密过程中任何闪失都可能造成影像数据永久损坏。云天数据恢复中心制定了严密的三步方案：

1. 原始存储只读保护——通过写保护机制挂载EMC存储，确保原始加密数据绝对只读，所有操作在副本上进行
2. 解密后数据写入新存储——解密完成的数据直接存入院方新采购的存储设备，物理隔离确保安全
3. 病毒专杀前置——工程师根据Wman病毒特征现场定制备份程序及病毒专杀脚本，解密完成的数据在写入新环境前全部经过病毒扫描

▲ PACS系统EMC存储设备——50TB医学影像数据解密恢复现场

这套定制化方案大大缩短了PACS系统的恢复周期。截至发稿，已解密完成的PACS数据经放射科、超声科逐一验证，影像调阅、对比、测量功能均正常，完整度100%。

勒索病毒预防建议

一、数据备份——最硬的最后一道防线

如果你手里有一份干干净净、没被加密的备份，黑客就拿你没办法。记住"3-2-1"原则：至少3份备份、2种不同介质（如外接硬盘+云盘）、1份异地存放。本案例中备份一体机和NAS同时被加密的教训极其深刻——备份设备必须与生产网络隔离，备份完成后立即断开连接。

二、打补丁——堵住入侵通道

绝大多数勒索病毒不是靠高深技术打进来的，而是钻了你长期没修补的系统漏洞。开启操作系统自动更新，定期检查并升级服务器、浏览器、办公套件、Java、PDF阅读器等常用软件。

三、端口管理——不该开的门坚决关闭

关闭不必要的远程桌面（3389端口）和局域网共享端口（135、139、445等）。如必须开启远程登录，务必使用高强度密码并设置账户锁定策略，配置IP白名单限制访问来源。

四、杀毒软件、防火墙、EDR——只管开，别关

杀毒软件和防火墙不是电脑卡顿的原因，而是它能安全运行的保障。安装正规安全软件并保持实时监控，企业及医疗机构建议部署EDR高级端点防护，定期检查安全软件运行状态。

五、安全意识——人才是最大的防线

钓鱼邮件是黑客最常用的敲门砖。记住"四不要"：不点击来源不明的邮件、不下载不明附件、不访问色情赌博盗版网站、不轻信要求"启用宏""下载插件"的弹窗。医疗机构应定期对全体医护人员进行网络安全培训。

六、强密码+多因素认证——别把钥匙挂在门口

密码长度至少8位，包含大小写字母、数字、符号，不与设备信息关联。重要系统强制开启MFA多因素认证。有条件的企业及医院建议部署堡垒机统一管理服务器访问权限。

七、网络隔离与权限控制——降低攻击半径

将核心服务器、办公网络、访客网络分开部署。遵循最小权限原则，按需分配员工访问权限。备份服务器的访问权限须严格控制——本案例中备份一体机与NAS同时被加密，正是因为备份设备暴露在同一网络中。

相关案例推荐：