ZONE.CI 全球网

Solar应急响应团队首发weax勒索病毒利用用友畅捷通T+0day漏洞的攻击溯源全流程。攻击者通过GetAnonymousTPlusToken接口未授权SQL注入，经Authorization头orgId字段堆叠执行开启xp\\_cmdshell与OLE自动化获取权限，部署加密器加密文件为.weax后缀。文章详述代码审计链路、FREB捕获载荷证据及IOC，建议企业排查暴露面并关注后缀变化。

本文是一篇关于wman勒索病毒的应急响应实战案例分析。该病毒属于Rastgang家族，近期再度活跃。文章详细还原了一起15台服务器被攻击的事件，涵盖样本逆向分析、加密逻辑梳理、数据恢复、攻击路径溯源及后续加固建议。核心发现包括其采用RSA与ChaCha20\\_Poly1305混合加密、仅加密文件头部512KB并复用密钥流等特点，这些为成功在不支付赎金的情况下恢复99%的数据提供了技术基础。最终通过溯源发现攻击者利用RDP弱口令入侵，并提出了收敛入口、强化认证和日志留存等长效防护措施。

本文是一篇关于银狐远控木马借壳网易CC客户端进行攻击的应急响应案例分析。文章详细描述了攻击者如何利用合法的网易CC更新程序（白文件），通过DLL侧加载、UAC提权等技术，在目标终端上部署并执行恶意的libcurl.dll。该恶意DLL体积异常庞大，并采用了PE伪装和反沙箱技术以绕过安全软件检测。整个攻击链从2025年6月持续潜伏至2026年6月，最终通过EDR的外联告警被发现。文章还揭示了攻击者利用隐藏文件和随机命名文件夹来躲避人工排查的手段，并提供了从样本发现到逆向分析的完整处置流程。

本文深度分析了Weax与Sorry勒索病毒通过管家婆软件211端口未授权RCE漏洞入侵中小企业的全链路攻击。核心发现是攻击者利用scktsrvr.exe的MIDAS协议无认证缺陷，绕过传统防御并实现无日志入侵。建议立即检查并限制211端口访问，排查SQLServerOLEAutomation异常开启记录。

本文详细复盘了一起伪装Telegram的银狐木马应急响应案例。攻击者利用白加黑架构和DLL劫持技术，通过OTGContainer.exe加载恶意libcurl.dll，最终注入tracerpt.exe实现远控。团队在原始文件被删除的极端条件下，通过内存Dump、JumpList和Prefetch分析成功溯源，并提供了清除方案和IOC。核心建议是加强非官方软件下载管控和系统日志审计。

WannaHammer3.0勒索病毒通过社工钓鱼传播，以5元QQ转账赎金和社死式音频播放为特点。该样本采用魔改DES加密但存在缺陷可离线恢复，通过倒计时、禁用任务管理器、篡改壁纸和播放淫秽音频施加心理压力。应急响应建议保留现场并联系专业团队使用专用工具解密。

IncRansom勒索组织在2026年7月第三周连续攻击两家国内企业（智能显示芯片设计与轻量化新材料制造），受害总数已达874家。该组织采用RaaS模式，攻击链成熟，利用合法工具进行渗透、横向移动和数据加密，谈判策略注重心理施压。建议企业加强边界防护、监控异常远程工具使用，并建立快速应急响应与备份恢复机制。

DragonForce是2023年8月活跃的RaaS勒索组织，已致634家企业受损，采用LockBit变种与自带驱动加密器，实施双重勒索并开放80%分成的联盟招募。其后台具备CRM、工单、产品手册等企业级功能，攻击链自动化且覆盖多平台。建议企业强化终端防护、启用离线备份、部署威胁情报监测及制定应急响应预案。

Solar应急响应团队举办2026年8月应急响应公益月赛，旨在提升安全从业者实战能力。比赛于8月29日10:00-18:00在天狩平台进行，报名时间为8月25日14:00至29日9:59。题目涵盖综合靶场、日志审计、逆向分析等，基于真实案例。采用积分制，年度前三名获礼品，公司主体可获勒索态势情报服务。

Solar团队发布2026上半年勒索报告，基于375起国内实战与4696起全球数据，揭示攻击量增、头部集中及供应链放大趋势。关键发现包括老旧系统成重灾区、81.1%事件源于弱口令与漏洞，并指出AI加速武器化。建议企业优先治理弱口令、收敛暴露面、强化离线备份，利用免费解密工具反制，切勿盲目支付赎金。

本文是一篇关于wman勒索病毒的应急响应实战案例分析。该病毒属于Rastgang家族，近期再度活跃。文章详细还原了一起15台服务器被攻击的事件，涵盖样本逆向分析、加密逻辑梳理、数据恢复、攻击路径溯源及后续加固建议。核心发现包括其采用RSA与ChaCha20\\_Poly1305混合加密、仅加密文件头部512KB并复用密钥流等特点，这些为成功在不支付赎金的情况下恢复99%的数据提供了技术基础。最终通过溯源发现攻击者利用RDP弱口令入侵，并提出了收敛入口、强化认证和日志留存等长效防护措施。

本文是一篇关于银狐远控木马借壳网易CC客户端进行攻击的应急响应案例分析。文章详细描述了攻击者如何利用合法的网易CC更新程序（白文件），通过DLL侧加载、UAC提权等技术，在目标终端上部署并执行恶意的libcurl.dll。该恶意DLL体积异常庞大，并采用了PE伪装和反沙箱技术以绕过安全软件检测。整个攻击链从2025年6月持续潜伏至2026年6月，最终通过EDR的外联告警被发现。文章还揭示了攻击者利用隐藏文件和随机命名文件夹来躲避人工排查的手段，并提供了从样本发现到逆向分析的完整处置流程。

本文深度分析了Weax与Sorry勒索病毒通过管家婆软件211端口未授权RCE漏洞入侵中小企业的全链路攻击。核心发现是攻击者利用scktsrvr.exe的MIDAS协议无认证缺陷，绕过传统防御并实现无日志入侵。建议立即检查并限制211端口访问，排查SQLServerOLEAutomation异常开启记录。

本文详细复盘了一起伪装Telegram的银狐木马应急响应案例。攻击者利用白加黑架构和DLL劫持技术，通过OTGContainer.exe加载恶意libcurl.dll，最终注入tracerpt.exe实现远控。团队在原始文件被删除的极端条件下，通过内存Dump、JumpList和Prefetch分析成功溯源，并提供了清除方案和IOC。核心建议是加强非官方软件下载管控和系统日志审计。

WannaHammer3.0勒索病毒通过社工钓鱼传播，以5元QQ转账赎金和社死式音频播放为特点。该样本采用魔改DES加密但存在缺陷可离线恢复，通过倒计时、禁用任务管理器、篡改壁纸和播放淫秽音频施加心理压力。应急响应建议保留现场并联系专业团队使用专用工具解密。

IncRansom勒索组织在2026年7月第三周连续攻击两家国内企业（智能显示芯片设计与轻量化新材料制造），受害总数已达874家。该组织采用RaaS模式，攻击链成熟，利用合法工具进行渗透、横向移动和数据加密，谈判策略注重心理施压。建议企业加强边界防护、监控异常远程工具使用，并建立快速应急响应与备份恢复机制。

Solar应急响应团队举办2026年8月应急响应公益月赛，旨在提升安全从业者实战能力。比赛于8月29日10:00-18:00在天狩平台进行，报名时间为8月25日14:00至29日9:59。题目涵盖综合靶场、日志审计、逆向分析等，基于真实案例。采用积分制，年度前三名获礼品，公司主体可获勒索态势情报服务。

Solar团队发布2026上半年勒索报告，基于375起国内实战与4696起全球数据，揭示攻击量增、头部集中及供应链放大趋势。关键发现包括老旧系统成重灾区、81.1%事件源于弱口令与漏洞，并指出AI加速武器化。建议企业优先治理弱口令、收敛暴露面、强化离线备份，利用免费解密工具反制，切勿盲目支付赎金。

Solar团队发布2026上半年勒索报告，基于375起国内实战与4696起全球数据，揭示攻击量增、头部集中及供应链放大趋势。关键发现包括老旧系统成重灾区、81.1%事件源于弱口令与漏洞，并指出AI加速武器化。建议企业优先治理弱口令、收敛暴露面、强化离线备份，利用免费解密工具反制，切勿盲目支付赎金。

2026年6月12日，勒索组织WorldLeaks在暗网公开了苹果和特斯拉核心供应商塔塔电子的630.4GB数据，包含204,341个文件，涉及苹果V6X等未发布产品的制造规范、5G毫米波SiP模组设计图等核心机密。数据已完全公开，表明谈判破裂。该事件凸显了针对高价值制造业供应链的精准数据勒索风险，建议相关企业加强供应链安全防护与数据泄露监测。

本文深度分析了Weax与Sorry勒索病毒通过管家婆软件211端口未授权RCE漏洞入侵中小企业的全链路攻击。核心发现是攻击者利用scktsrvr.exe的MIDAS协议无认证缺陷，绕过传统防御并实现无日志入侵。建议立即检查并限制211端口访问，排查SQLServerOLEAutomation异常开启记录。

本文详细复盘了一起伪装Telegram的银狐木马应急响应案例。攻击者利用白加黑架构和DLL劫持技术，通过OTGContainer.exe加载恶意libcurl.dll，最终注入tracerpt.exe实现远控。团队在原始文件被删除的极端条件下，通过内存Dump、JumpList和Prefetch分析成功溯源，并提供了清除方案和IOC。核心建议是加强非官方软件下载管控和系统日志审计。

WannaHammer3.0勒索病毒通过社工钓鱼传播，以5元QQ转账赎金和社死式音频播放为特点。该样本采用魔改DES加密但存在缺陷可离线恢复，通过倒计时、禁用任务管理器、篡改壁纸和播放淫秽音频施加心理压力。应急响应建议保留现场并联系专业团队使用专用工具解密。

IncRansom勒索组织在2026年7月第三周连续攻击两家国内企业（智能显示芯片设计与轻量化新材料制造），受害总数已达874家。该组织采用RaaS模式，攻击链成熟，利用合法工具进行渗透、横向移动和数据加密，谈判策略注重心理施压。建议企业加强边界防护、监控异常远程工具使用，并建立快速应急响应与备份恢复机制。

DragonForce是2023年8月活跃的RaaS勒索组织，已致634家企业受损，采用LockBit变种与自带驱动加密器，实施双重勒索并开放80%分成的联盟招募。其后台具备CRM、工单、产品手册等企业级功能，攻击链自动化且覆盖多平台。建议企业强化终端防护、启用离线备份、部署威胁情报监测及制定应急响应预案。