Linux 与 Windows 双平台适配，.weax 变种免杀机制与 IOC 标记汇总
- 客户名称：国内某公司
- 售前服务顾问：陈顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
整个入侵的起点，往往就是一次没有经过审核的软件下载。员工在论坛、网盘分享站找到标注“免激活、永久可用”的安装压缩包，下载解压之后，主程序的界面和原版软件几乎看不出差别，正常的功能可以打开使用，恶意载荷就被打包在资源文件内。
Linux 与 Windows 双平台适配，.weax 变种免杀机制与 IOC 标记汇总
案例简介：
整个入侵的起点，往往就是一次没有经过审核的软件下载。员工在论坛、网盘分享站找到标注“免激活、永久可用”的安装压缩包，下载解压之后，主程序的界面和原版软件几乎看不出差别，正常的功能可以打开使用，恶意载荷就被打包在资源文件内。
序言
很多人提到.weax变种，第一印象都是服务器被端口爆破入侵，大量现场案例却显示，普通办公主机才是容易被忽略的突破口。当您面临重要文件被加密无法访问的紧急情况时，欢迎联系我们的技术服务号（huifu234），我们将协助您制定高效的数据恢复策略。不少小微企业员工习惯从第三方站点下载各类工具的破解版本，觉得只是省一笔软件授权费用，却不知道这类安装包内部嵌套多层恶意载荷。本文基于多起同类事件的现场观察，顺着.weax从落地潜入、后台潜伏、启动加密、生成标记文件，再到内网横向扩散的完整时间线拆解，把破解软件捆绑这个入口的风险细节还原出来，所有排查动作都搭配可直接上手的实操指引。
一、潜入过程：藏在破解安装包里的隐蔽投放
整个入侵的起点，往往就是一次没有经过审核的软件下载。员工在论坛、网盘分享站找到标注“免激活、永久可用”的安装压缩包，下载解压之后，主程序的界面和原版软件几乎看不出差别，正常的功能可以打开使用，恶意载荷就被打包在资源文件内。
很多捆绑方式不是单独弹出程序，而是利用安装脚本静默调用PowerShell，在后台完成释放。安装向导一路下一步的过程中，.weax的加载文件被写入用户临时目录，同时加入注册表或者计划任务，不需要员工额外确认。杀毒软件如果特征库更新滞后，或者员工为了顺利安装破解包，临时关闭了实时防护，载荷就能顺利落地执行。
实操观察细节：这类破解包投放的.weax样本，不会在第一时间占用大量CPU，安装完成后软件正常运行，很难立刻引起警觉。可以在事后取证时，查看下载目录、解压目录的文件创建时间，对照事件日志里powershell、rundll32这类进程的启动记录，锁定载荷投放的精确时点。
二、潜伏机制：静默收集凭据，摸清内网环境
载荷落地之后，进入一段时长不等的潜伏周期，也是.weax攻击链里最容易被错过的阶段。它不会立刻开启加密，优先做环境侦查和权限收集。
首先是本机信息采集，读取系统保存的账号凭证，包含共享文件夹登录记录、浏览器保存的密码、远程连接缓存凭据。随后启动内网扫描，探测同网段存活主机、开放的SMB共享端口，记录NAS、共享服务器、其他办公电脑的IP和共享名称。这个阶段磁盘读写平稳，偶尔出现几秒高占用，大多被当成软件后台更新、系统自动维护。
同时它会执行前置清理脚本，定向清除系统卷影副本，破坏本地快照恢复渠道。这个动作执行的时候，事件查看器里会出现vss服务异常终止的日志，很多兼职运维很少主动去翻阅这条记录。它还会尝试关闭主机上的安全防护组件，绕过基础拦截，为后续加密扫清障碍。
潜伏时长没有固定标准，短则几十分钟，长可达一两天。攻击者会根据内网规模判断时机，如果扫描发现内网存在大量高价值业务文件，会延长潜伏时间，等待更多设备的凭据被抓取。
若您正为数据丢失或系统被锁而困扰，我们随时准备提供专业援助。通过添加我们的技术服务号（huifu234），您将获得定制化的数据修复方案。
三、触发加密：定向筛选业务文件，分批改写内容
侦查完成、凭据收集到位之后，加密模块被触发。.weax不会无差别加密系统核心文件，会建立过滤清单，跳过系统目录、程序运行依赖文件，重点瞄准文档、表格、图纸、数据库备份、项目素材这类业务文件。
加密是分批执行，优先处理D盘、E盘等数据盘，再遍历挂载的网络共享盘。每处理完一份文件，在原文件名末尾追加.weax后缀，原始文件内容被替换为加密数据流。文件大小会出现小幅变动，打开时直接提示格式无效，无法用原有软件解析。
实操上可以通过资源监视器观察特征：加密阶段会出现大量分散随机读写，不是拷贝文件那种连续IO。同文件夹内文件修改时间会集中落在同一个时间窗口，这个时间戳，就是判定加密启动节点最直接的依据。不少用户会误以为是硬盘坏道，反复运行磁盘检查程序，反而破坏了文件时间戳证据。
四、生成标记文件：在遍历目录内留下识别文档
加密任务执行的同时，病毒会在每一个完成处理的文件夹内写入标记文档，并不是只放在桌面。很多人清理桌面文件之后，以为标记文件已经清除，深层业务目录、共享盘里面依旧留存。
标记文档里包含固定的提示文本，配套该变种独有的标识字段，用来区分不同攻击批次。这个文件也是现场识别.weax的重要依据，单凭后缀很容易和其他后缀类似的勒索变种混淆，标记文档的文本模板、排版格式，辨识度更高。
这里一个高频踩坑点：很多员工看到文档之后，随手复制转发到工作群，或者拷贝到其他电脑打开查看。即便病毒主进程已经结束，加密文件本身不具备直接执行能力，但拷贝过程如果经过可写共享，容易把标记文件、残留缓存带到其他主机，增加溯源排查的干扰项。取证的时候，标记文档必须用只读移动介质复制留存，不要直接在原主机编辑。
五、终端扩散：利用窃取凭据横向蔓延全网
单台主机加密不是攻击终点，.weax会使用之前潜伏阶段抓取到的账号密码，尝试登录网段内其他开启共享的终端和存储设备。
如果内网大量设备使用统一账号密码，或者共享文件夹权限设置宽松，扩散速度会非常快。一台员工机中招，几个小时之内，设计图纸、财务台账、客户资料集中存放的NAS、文件服务器就会被波及。扩散路径依托SMB协议，不需要复杂漏洞，拿到合法凭据就能访问写入。
观察多起案例可以发现，破解软件入口带来的扩散，和服务器漏洞入侵有一点区别：起始点是普通员工桌面机，权限等级有限，能不能横向蔓延，完全取决于内网账号统一度、共享管控强度。很多小企业为了方便协作，全员共用管理员账号，相当于给病毒的横向移动铺平了道路。
六、对应处置与长效防护，堵住破解软件这个入口
顺着整条时间线来看，.weax在这类场景下的所有破坏，根源始于员工随意下载、运行来路不明的破解安装包。想要降低同类事件概率，不能只靠出事之后应急隔离，要从源头管控。
第一，建立软件安装管控机制，普通员工账号设置标准权限，禁止私自安装程序，软件统一从官方渠道获取。很多破解站点捆绑恶意程序的伪装性极强，界面、功能都能正常使用，普通使用者很难分辨里面藏有.weax这类载荷。
第二，内网账号差异化管理，杜绝全设备共用一套管理员密码。共享文件夹遵循最小权限原则，一线员工账号只开放只读权限，关闭不必要的写入权限，就算单台主机被突破，也能阻断横向扩散。
第三，做好备份隔离，备份盘不能长期挂载在业务主机上，定期离线拷贝，并且校验备份文件能否正常打开。.weax具备扫描挂载盘符的能力，在线同步备份很容易跟着被加密，失去恢复价值。
第四，明确中招之后的止损顺序。发现出现.weax后缀文件，优先物理断开主机网络，保持开机状态留存内存日志，不要立刻重启、全盘查杀。暂停所有共享同步任务，再开展内网排查，搜索标记文档，确认感染范围。
结语
.weax这个变种的攻击链路，在由破解软件作为入口的场景下，完整展示了“一次随意下载→后台潜伏侦查→批量加密→内网扩散”的全过程。它不需要高深的漏洞，只需要利用员工图方便、找免费软件的习惯落地。很多小微企业把安全重心放在服务器防护上，却忽略了员工桌面机这个薄弱入口。看懂这条时间线就会明白，安全防线的第一道关卡，从来不是杀毒软件，而是不随意运行第三方破解安装包这个简单规则。
