序言
【91数据恢复安全快报｜.rox勒索病毒事件滚动通报】 本次快报以小时级时间轴记录一起制造企业机房入侵事件，攻击者并非从办公终端入手，而是通过公网批量扫描，拿下机房UPS网管卡、PLC、智能采集网关这类容易被忽略的工控智能设备，以此作为内网跳板投放.rox。数据的重要性不容小觑，您可添加我们的技术服务号（data388），我们将立即响应您的求助，提供针对性的技术支持。很多运维的端口清单只登记服务器、电脑，长期不梳理OT侧设备开放端口，默认设备“只是监控用，没有业务价值”，最终让低防护的物联网设备成为整条网络的突破口。91数据恢复专家按攻击时序还原事件，同步梳理各类开放端口、对应服务的风险利用方式，给出可落地的端口资产清点与应急处置动作。
00:00-01:00 首轮扫描：公网探测，锁定弱口令设备
攻击起始阶段，扫描工具持续遍历目标网段，优先探测23、80、443、161等运维、工控常用端口。 23端口Telnet服务：大量UPS网管模块、小型采集网关默认开启，通信明文传输，出厂账号密码长期未修改，扫描器会直接尝试字典爆破，拿到设备管理权限。这是本次事件最先被拿下的节点，一台UPS网管卡因默认口令被攻击者取得访问入口。 80/443端口Web管理页面：UPS、PLC的内嵌网页后台，很多厂商自带管理页面，未开启验证码、登录锁定，存在未授权访问漏洞，攻击者读取设备配置，拿到同网段其他设备IP列表，绘制内网拓扑。 161端口SNMP：简单网络管理协议，多用于设备状态采集，很多机房开启后不配置访问白名单，攻击者读取设备名称、版本、网段信息，辅助后续横向移动。 这个阶段没有任何告警，UPS、工控设备大多不接入终端安全平台，日志存储容量有限，告警机制缺失，设备被登录后，机房值班人员无法感知。
01:00-03:00 横向渗透：从工控跳板，向业务服务器扩散
攻击者拿到UPS设备权限后，以这台设备为跳板，在内网发起第二轮扫描，重点探测服务器与工作站高危端口。 22端口SSH：服务器远程管理端口，不少运维习惯全网段开放，密码复用UPS、PLC的默认口令，攻击者直接复用凭据登录业务主机。 3389远程桌面：生产管理主机、数据采集电脑开启，没有绑定IP白名单，仅依靠简单密码，被爆破后落地远控工具。 445端口SMB共享：内网文件共享、台账备份目录，攻击者拿到账号哈希之后，尝试横向访问，这也是.rox后续批量加密的核心通道。 102端口S7协议：西门子PLC通信端口，部分产线PLC直接连通办公网，攻击者可读取程序、修改运行参数，同时利用同网段信任关系，继续向生产运维终端渗透。 实操细节：事后复盘可以看到，攻击者在UPS设备上写入临时脚本，持续ping扫描C段，输出存活IP清单，整个过程没有触发防火墙告警，因为流量属于内网正常通信特征。
如果您正在经历数据恢复的困境，我们愿意与您分享我们的专业知识和经验。通过与我们联系，您将能够与我们的团队进行沟通，并获得关于数据恢复的相关建议。欢迎联系我们的vx技术服务号（data388）
03:00-05:00 载荷投放：.rox落地，后台完成文件遍历与预处理
攻击者挑选一台权限充足的生产服务器上传.rox样本，执行之后先终止系统内备份服务、删除卷影副本，再遍历磁盘内数据库、组态文件、产线台账、图纸源文件。 这里容易出现认知盲区：多数人认为工控设备只是监控，不会存放业务文件，而实际场景里，采集网关、运维主机本地会缓存生产报表、参数备份。.rox不会区分IT设备和OT设备，只要有权限访问，就会标记目标文件。 同步扫描云同步目录、NAS共享路径，为后续加密、跨设备同步扩散做准备。该变种在这一阶段不会立刻批量加密，优先完成内网测绘、凭据抓取，降低被安全软件拦截概率。
05:00-07:00 加密爆发：运维发现异常，事件正式上报
值班人员在早班巡检时发现，多台生产主机文件后缀统一变更为.rox，图纸、生产数据库无法打开，产线组态程序失效，产线停机。 此时攻击者已经完成批量加密，内网共享文件夹、NAS内在线备份同步被加密。运维第一时间尝试重启服务器、全盘查杀，反而覆盖内存中的攻击痕迹，丢失跳板设备的登录日志。 快报提示：发现后缀异常，优先隔离网段，不要重启跳板工控设备，UPS、网关需要保留现场，用于溯源攻击入口。
端口与服务风险完整梳理清单
Telnet（TCP 23）：UPS、采集网关、老款PLC高频开启，明文传输，弱口令爆破优先目标，建议直接关闭，改用SSH或者隔离管理网。 Web管理（TCP 80/443）：所有智能设备管理页面，风险点为默认口令、未授权访问，必须修改默认密码，增加IP白名单。 SNMP（UDP 161）：设备状态采集，无白名单会泄露拓扑信息，只允许内网运维服务器访问，关闭公网访问。 SSH（TCP 22）：服务器远程管理，风险集中在密码复用、弱口令，启用密钥登录+登录失败锁定。 RDP（TCP 3389）：Windows运维终端，公网暴露属于高危，禁止直接对公网开放，必须走VPN。 SMB（TCP 445）：内网共享，勒索病毒横向移动核心端口，公网永久封禁，内网按最小权限开放。 S7comm（TCP 102）：西门子PLC协议，禁止直接和办公网互通，工控网、办公网物理或者逻辑隔离。 OPC UA（TCP 4840）：工业数据交互协议，配置不当会被非法读取、下发指令，单独隔离工控子网。
应急处置实操指引（适配本次UPS/工控跳板场景）
第一，划分隔离域，断开工控网和办公业务网之间的互通策略，不要直接断电UPS网管卡，避免丢失登录日志。 第二，提取所有工控设备的登录日志、SNMP日志，核对陌生登录IP、登录时间，定位最早被攻陷的节点。 第三，全网段资产盘点，把UPS、温湿度控制器、PLC、采集网关全部纳入端口资产表，很多企业资产清单长期缺失OT设备。 第四，暂停所有在线NAS、云同步客户端，防止加密文件跨设备同步扩散。 第五，离线备份介质做可用性校验，确认隔离于被攻陷网段之外，再评估恢复方案。
长效加固方案
OT和IT网络分层隔离是核心，UPS、工控智能设备单独划分管理VLAN，和业务服务器、办公终端之间默认拒绝互通，仅运维堡垒机单向访问。 建立季度端口巡检机制，每次扫描核对开放端口，清理闲置Telnet、SNMP服务，所有物联网设备强制修改出厂口令，口令独立，禁止跨设备复用。 给工控设备配套独立日志审计，将登录、配置变更日志上传至日志平台，设置陌生IP登录告警，弥补这类设备本身缺少告警能力的短板。 备份策略上，工控组态文件、产线参数、业务数据库，采用离线介质轮换备份，定期离线校验，杜绝在线备份被病毒一并加密。
快报结语
本次.rox事件证明，勒索攻击的入口早已不局限于服务器和办公电脑。机房里常年被忽视的UPS网管卡、智能采集设备，因为端口随意开放、默认弱口令，成为攻击者低成本突破内网的跳板。端口安全不是简单关闭几个高危端口，而是完整的资产识别、权限收敛、访问审计的闭环。 对制造、加工厂房而言，OT侧设备的防护优先级，应当和核心业务服务器对齐，定期做端口测绘、弱口令扫描，避免攻击者从不起眼的监控设备，撕开整个内网防线。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.rox勒索病毒，.xor勒索病毒，.weax勒索病毒，.ths勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，.sorry勒索，病毒.bres勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.god8damn勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.L0CK3D勒索病毒，.piz勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
联络方式：
客服热线：400-1050-918
技术顾问：166-6622-5144 133-1884-4580
技术顾问：176-2015-9934 155-2133-9934
邮箱：91huifu@91huifu.com
粤公网安备 44030502006563号