序言
在企业日常运维中，办公终端安全、局域网防护、数据台账管控是最容易被忽视，也是风险最高的环节。相较于外网攻击，企业内部终端中毒、局域网横向渗透、员工操作不当引发的安全事件，占中小企业、工作室、线下门店安全事件的80%以上。近期安全监测显示，.weax所属Weaxor家族攻击持续活跃，数据的价值无法估量，一旦遇到任何数据相关的问题，欢迎添加我们的技术服务号（data788），我们将迅速响应，给予您最及时可靠的技术援助。该家族是Mallox重构迭代后的变种，仅修改文件后缀即可绕过常规特征检测，大量制造、商贸、工贸小微企业接连中招。多数企业无规范防护、无应急流程、无常态化制度，一旦遭遇.weax攻击，会直接造成客户资料泄露、业务台账损毁、办公系统瘫痪等重大损失。本文从风险通报、薄弱点剖析、数据危害、内网传播原理、应急处置、安全配置、管理制度七个维度，拆解.weax病毒攻击特点与企业防御办法。
1. 企业近期中招风险通报
安全事件统计，.weax病毒的攻击目标高度聚焦国内中小微企业，这类企业普遍存在公网端口裸露、账号密码复用、内网无隔离、备份机制不完善等问题，成为该变种重点瞄准对象。 不同于传统恶意程序依赖钓鱼邮件单点入侵，.weax团伙大量采用暴力爆破作为首要入侵手段，优先扫描暴露在公网的RDP远程桌面、1433数据库端口、SSH服务。攻击者通过自动化脚本批量尝试弱口令，拿到服务器或主机权限后，会在系统内潜伏一段时间，完成内网资产探测、高价值数据采集，再执行批量文件处理操作。 同源变种包含.rox、.wex、.wxr、.mallox，攻击者只修改文件后缀，攻击链路、行为逻辑保持不变，容易被常规杀毒软件的特征库漏检。大量案例反馈，很多企业中招并非系统存在高危漏洞，仅仅是服务器使用简单密码，就被外部探测工具发现并突破边界。
2. 办公设备最易被攻破的薄弱点
.weax病毒的入侵，几乎全部利用企业运维管理层面的漏洞，而非复杂系统零日漏洞，企业常见薄弱点集中在这几项：
- 公网端口裸奔：为方便异地办公，直接把RDP、数据库端口对外开放，没有部署VPN、堡垒机做访问管控，是.weax最主要的入口。很多门店、小公司运维图省事，不做IP白名单，全网可直接尝试登录服务器。
- 账号密码复用：服务器、财务电脑、NAS存储、数据库使用同一套账号密码，一台设备被攻破，攻击者拿到凭据后直接扩散到全网终端。
- 内网无分区隔离：办公电脑、财务服务器、ERP业务系统、文件服务器全部放在同一局域网。单点主机失陷，病毒可直接访问所有共享文件夹、网络磁盘。
- 备份架构缺陷：备份文件保存在内网NAS或者业务服务器本地。.weax执行操作时会优先删除系统卷影副本，同时遍历网络共享盘，内网备份资源会同步受到影响，备份失去恢复价值。
- 终端防护配置简化：为了业务软件兼容，企业关闭终端安全软件实时防护、脚本拦截，PowerShell、WMI等系统原生工具可被攻击者直接调用，恶意载荷借助正常进程运行，很难被拦截。
- 盗版软件与不明附件：员工下载破解运维工具、插件，打开邮件内陌生附件，也是.weax次要入侵入口。
- 若您的数据文件因勒索病毒而加密，只需添加我们的技术服务号（data788），我们将全力以赴，以专业和高效的服务，协助您解决数据恢复难题。
3. .weax病毒对企业数据、台账、客户资料的危害
.weax采用先窃取、后处理文件的攻击逻辑，在对本地文件进行操作前，攻击者会先在内网检索并回传高价值资料，重点抓取财务台账、项目合同、客户联系方式、进销存报表、项目图纸等核心业务数据。 文件受影响后，原始文件名保留，末尾追加.weax后缀，例：客户清单.xlsx → 客户清单.xlsx.weax，文档、数据库、图纸、图片等绝大多数业务文件都无法正常打开。攻击者会在每一个加密目录生成RECOVERY INFORMATION.txt说明文件，记录主机唯一标识与联络方式。 一旦企业遭遇.weax攻击，会产生多层损失：
- 业务中断：ERP、进销存系统无法读取台账，订单、生产、财务工作停滞；
- 客户资料外泄：客户信息、合同资料被窃取，带来客户信任危机与合规风险；
- 备份失效：本地卷影副本、内网NAS备份被同步处理，企业失去原有数据恢复途径；
- 溯源困难：攻击者完成操作后清理系统日志，事后排查入侵源头难度大幅提升。
4. 局域网传播原理（重点差异化内容）
多数病毒依靠恶意文件双击执行扩散，而**.weax最核心的特点是依靠窃取账号凭据实现内网横向移动，并非单纯依靠病毒文件复制传播**，这也是它和普通病毒最大的区别。 完整内网扩散链路：
- 单点突破：攻击者通过弱口令爆破拿到某一台服务器/办公主机权限，在系统中部署后门程序，建立持久访问通道；
- 内网资产探测：程序启动后扫描局域网网段，探测存活主机、开放端口、共享文件夹，抓取内网所有主机账号、凭证信息；
- 凭据复用横向渗透：使用抓取到的账号密码，尝试登录局域网内其他电脑、NAS、数据库服务器。只要企业多台设备密码一致，攻击者就能逐个接管主机；
- 全域执行：当内网多台主机权限获取完成，恶意程序在全网节点同步启动，删除系统还原点，遍历所有本地磁盘与网络共享目录，批量处理文件；
- 留存标记：在每一个受影响文件夹生成说明文档，留下主机识别ID。
核心差异点：传统病毒靠文件拷贝传播，断开共享就能阻断；.weax拿到账号密码后，哪怕不拷贝病毒本体，依靠系统自带远程管理工具就能访问内网其他主机，单纯关闭文件共享不足以阻断横向渗透。这也是很多企业明明限制共享，依旧全网中招的根本原因。
5. 企业端紧急应急流程
发现主机出现.weax后缀文件、大量目录出现RECOVERY INFORMATION.txt文件，立即按流程处置，禁止随意操作扩大故障：
- 隔离断网：第一时间断开受害主机网线/WiFi。如果是服务器，不要直接关机（保留现场日志便于溯源），在交换机层面将该主机所在端口隔离，阻断对内网其他设备的访问通道。切勿先重启服务器，防止日志丢失。
- 全网资产排查：快速扫描局域网所有设备，检查是否存在其他主机出现.weax后缀文件，标记所有已受影响终端，单独隔离，防止继续扩散。
- 停止访问共享存储：所有员工立刻停止访问NAS、网络映射盘，避免未感染主机访问已被处理的共享文件。
- 留存现场证据：保留系统日志、进程列表、恶意文本文件，不要删除、修改加密文件，不要随意使用网上不明解密工具，错误操作会造成数据永久损坏。
- 账号全量重置：内网所有服务器、数据库、NAS、办公电脑账号密码全部更换，禁止复用旧密码，防止攻击者继续使用窃取的凭据登录系统。
- 评估数据恢复可行性：检查离线异地备份是否完好。确认备份没有被病毒访问，再评估数据恢复方案。
- 溯源与加固：事件平息后，排查入侵入口，修补薄弱点，同步更新安全策略。
6. 公司统一安全配置规范
针对.weax的攻击特性，落地标准化安全配置，从边界、内网、终端、备份四层搭建防护：
边界访问配置
- RDP、数据库、SSH等管理端口禁止直接暴露公网；远程运维必须使用VPN+堡垒机，开启IP白名单，限制仅指定IP接入；
- 所有服务器、网络设备禁用弱口令，密码长度不少于16位，大小写+数字+符号组合，不同设备密码独立不重复；
- 开启登录失败锁定策略，连续多次密码错误自动封禁账号，抵御暴力爆破。
内网网络配置
- 内网划分VLAN隔离：办公终端、财务服务器、生产业务服务器、NAS存储分属不同网段，默认禁止跨网段访问；
- 关闭不必要的共享文件夹，业务需要的共享，最小权限分配，仅开放给必要账号；
- 域环境下限制普通用户权限，禁止普通账号拥有服务器本地管理员权限。
终端安全配置
- 终端安全软件保持实时防护开启，PowerShell、WMI脚本执行做审计与限制；业务软件兼容问题单独测试，不全局关闭防护；
- 系统、数据库、业务组件定期更新补丁，关闭系统不必要服务；
- 禁止员工在办公电脑安装破解软件、不明来源工具。
备份系统配置（重中之重）
- 采用离线异地备份方案，备份介质平时断开内网，定期挂载备份，备份完成后脱离局域网，杜绝.weax访问备份数据；
- 开启多版本备份，保留至少3个时间节点备份，不要只保留一份最新备份；
- 每次备份完成后做恢复校验，确认备份文件可正常读取。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.weax勒索病毒，.wex勒索病毒，.rox勒索病毒，.Nilson勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，Devicdata-X-XXXXXX勒索，病毒.qewe勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.qewe勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.piz勒索病毒，.farfor勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
联络方式：
客服热线：400-1050-918
技术顾问：166-6622-5144 133-1884-4580
技术顾问：176-2015-9934 155-2133-9934
邮箱：91huifu@91huifu.com
粤公网安备 44030502006563号