序言
.ths恶意样本最早在2026年7月下旬被国内网络安全监测节点零星捕获，初期样本数量少，仅出现在小型工作室的内网环境，并未引发广泛关注。数据的价值无法估量，一旦遇到任何数据相关的问题，欢迎添加我们的技术服务号（data788），我们将迅速响应，给予您最及时可靠的技术援助。进入8月中旬，样本迭代速度加快，攻击者优化代码混淆逻辑，规避常规安全引擎静态扫描。8月末至9月上旬，监测平台持续观测到多地域内网共享路径出现感染痕迹，攻击不再局限单一行业，办公设备、设计工作站、小型服务器均有中招记录。和以往爆发型恶意代码不同，.ths程序不会短时间大规模扩散，偏向缓慢渗透，很多主机感染数天之后，管理员才发现文件异常。
一、跨环境扩散路径：依托共享介质完成内网渗透
该恶意程序的传播重心集中在局域网内部流转，外部投递多作为初始入口。 初始感染源头主要是伪装成工程图纸、项目报价单的压缩包，通过即时通讯、网盘分享、第三方素材网站下发。一旦在单台主机激活，它会自动扫描局域网内开启文件共享的设备，遍历可读写文件夹，向目录内写入自身副本。同时支持U盘、移动硬盘等移动存储介质传播，设备接入感染主机后自动植入，在不同办公场地之间完成跨环境携带传播。 它不会一次性批量篡改全部文件，采用分批标记的方式，优先处理文档、图纸、项目源文件，逐步将原始文件改写，追加.ths后缀，这种渐进式改动大幅拉长发现窗口期。
二、多场景受害实例：小微企业与设计工作站为重灾区
设计工作室案例：珠三角一家平面设计团队，多名设计师共用局域网文件服务器。一台设计电脑打开客户发来的压缩包后中招，连续4天时间内，服务器内近千份源文件陆续被改写。初期员工只发现个别素材打不开，等到批量文件异常时，内网十余台工作站都已经被渗透。 商贸小微企业案例：一家贸易公司财务主机通过U盘带入恶意代码，财务台账、合同档案被标记.ths后缀，系统未出现蓝屏、弹窗等明显异常，仅在打开文档时报文件损坏，延误业务资料整理。 个人创作者案例：独立剪辑师从非官方素材站点下载资源包，主机感染后，本地剪辑工程、素材文件受损，本地备份盘同步被改写。
若您的数据文件因勒索病毒而加密，只需添加我们的技术服务号（data788），我们将全力以赴，以专业和高效的服务，协助您解决数据恢复难题。
三、恶意程序触发逻辑：混淆伪装+静默驻留双重特性
.ths恶意程序最大特点在于低存在感，运行后不会弹出醒目警告窗口，也不会大量占用CPU资源，后台静默修改注册表，写入开机自启项，实现主机重启后持续驻留。 代码采用多层混淆处理，普通杀毒软件初次扫描很难识别，很多基础防护工具仅能识别老版本样本。程序运行逻辑优先检索各类办公、设计类文件，对目标文件进行编码处理，完成之后生成.ths后缀文件，原始文件会被移除。攻击者设计思路偏向数据损毁，不会留下额外通知文档，很多用户第一时间无法判断故障根源，容易误判为硬盘故障或者文件损坏。
四、主机紧急处置操作：发现文件异常第一时间断网隔离
- 一旦发现文件出现.ths后缀，立刻断开主机有线、无线网络，拔掉所有外接移动硬盘、U盘，阻止恶意代码继续在内网和存储设备扩散。
- 不要双击打开标记后的.ths文件，不要执行磁盘检查、修复工具，避免对原始文件造成二次破坏。
- 将感染主机单独隔离，对内网全部设备做逐台排查，重点检查文件服务器、共享存储设备。
- 使用离线版安全工具全盘扫描查杀驻留程序，清除注册表内的自启条目，确认恶意进程完全终止。
- 保留原始受损文件，不要随意删除，方便后续做数据评估。
五、长期风险防控要点：堵住共享介质的传播缺口
针对.ths依托内网共享与移动U盘扩散的特性，防护重心要放在边界管控。企业内网关闭不必要的文件夹共享权限，非必要不开放匿名访问；移动存储设备接入办公电脑前，必须离线扫描。 素材、图纸、项目文件尽量从官方可信渠道获取，外部收到的压缩包先放到隔离沙箱环境检测，禁止直接在内网工作站打开。建立定时异地备份机制，重要资料同步备份到物理隔离存储，不要只依靠内网服务器单份存档。定期更新终端安全防护版本，开启行为监测，重点监控批量文件修改这类异常行为。
六、当前威胁态势汇总：慢渗透类恶意程序风险持续走高
现阶段.ths恶意程序还处在持续迭代阶段，新变种不断优化混淆手段，隐蔽性持续增强。它区别于快速爆发的邮件蠕虫，依靠内网共享和移动存储缓慢蔓延，隐蔽性强，发现难度大，对设计、工程、商贸这类大量存储文档图纸的中小型机构威胁突出。 安全监测平台提示，后续一段时间，这类低静默、渐进式修改文件的恶意样本数量或将持续增多，中小企业和个人创作群体需要提高警惕，做好内网权限管控与离线备份，降低文件受损带来的业务损失。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.weax勒索病毒，.wex勒索病毒，.rox勒索病毒，.Nilson勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，Devicdata-X-XXXXXX勒索，病毒.qewe勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.qewe勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.piz勒索病毒，.farfor勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
联络方式：
客服热线：400-1050-918
技术顾问：166-6622-5144 133-1884-4580
技术顾问：176-2015-9934 155-2133-9934
邮箱：91huifu@91huifu.com
粤公网安备 44030502006563号