不传播、不解密，专打数据库与 OA：国家计算机病毒处理中心通报 Weaxor 勒索病毒

TJXFire

2026年10月23日 14:20
江西

去阅读

10 月 22 日，国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室发布预警报告，确认近期在我国境内发现多起用户遭遇 Weaxor 勒索病毒攻击事件。

本次通报给出一个与多数勒索家族不同的关键事实：Weaxor 没有主动传播功能——你的服务器不是被勒索病毒找上门的，是被人主动送进去的。

全文约 4000 字，预计阅读 12 分钟。本文为防守向拆解，不提供任何可直接运行的恶意代码或第三方解密工具。

官方防范建议中最容易被忽略、也最致命的两条是：备份不与生产环境网络直连、定期演练恢复流程。没有演练过的备份，在勒索面前等于没有备份。

本次攻击事件的官方通报由国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室联合发布。国家计算机病毒应急处理中心近期发现多起用户遭遇 Weaxor 勒索病毒攻击事件，本文将对该勒索病毒进行风险分析并提供相应的防范建议。

本文将从事件档案、攻击链路拆解、检测识别、处置重点及排查清单等维度进行说明。以下为该勒索病毒事件的基本档案信息。

一、事件档案

下表汇总了 Weaxor 勒索病毒的关键档案信息，涵盖通报机构、攻击特征及恢复可能性等核心项目。

上述档案信息显示，Weaxor 勒索病毒主要针对企业业务系统，且在没有解密密钥的情况下暂无可靠的恢复方法。

需要特别标注一条写在官方风险提示原文里、新闻通稿未提及的能力：感染 Windows 平台的 Weaxor，还具有窃取本地保存的 Windows 系统与域登录凭据的恶意功能。

这一条改变了整件事的性质。它不只是一个加密文件索要赎金的勒索，它同时是一个域渗透工具。攻击者拿到 OA 服务器上的域凭据之后，完全具备继续在内网横向移动的能力。

关键判断：一台 OA 服务器被加密，可能只是攻击的第一幕。真正的问题不是这台机器的文档没了，而是域凭据已经出去了，接下来会发生什么。如果只按文件加密事件处置，而没有按凭据泄露事件启动应急，你会错过真正的损失窗口。

二、攻击链路拆解

官方公布的活动过程可以还原为五步：网络犯罪分子实施定向入侵 → 入侵服务器（弱口令 / 系统·软件漏洞）→ 投送病毒（无主动传播，自动或手动投放；PowerShell 脚本、远控工具）→ 加密文件（椭圆曲线加密 AES 密钥 → AES 加密 ChaCha20 密钥 → ChaCha20 加密文件）→ 加密后索要赎金。

这条链有两个必须读出来的信息。

第一，这条链的起点是人而不是漏洞广播。没有扫描扩散、没有自动化铺开，攻击者必须先选定目标、找到入口、手动或半自动地投送。这意味着你的加固重点应该前置到入口——账号口令、服务暴露、补丁水平，而不是寄希望于网络层能拦住横向传播。

第二，Linux 也在投送范围内。官方明确说明该病毒覆盖大部分 Windows 与 Linux 操作系统平台，并专门给出了 Ubuntu 下的加密前后对比图。这是个常见的认知盲区：不少单位觉得服务器是 Linux，勒索病毒主要针对 Windows 终端，恰恰是这种认知会让 Linux 服务器成为盲区。

另外，从官方公布的加密文件类型看，被覆盖的范围几乎包括全部业务数据：文档、表格、数据库、图片、音视频、压缩包、镜像、虚拟机磁盘、源码与 SQL 文件都在内（官方对比图以 47 个测试文件类型为例，含 .vhd/.vhdx/.vmdk 等虚拟机磁盘格式）。

关键判断：这条链的每一个环节都不是新东西——弱口令、漏洞、PowerShell、远控工具都是老手法。它的危险不在技术难度，而在定向。攻击者选中的往往是真正存着业务数据的那几台服务器：数据库服务器、OA 服务器、财务和人事系统主机。这也解释了为什么国家层面的通报会点名这三类目标。

三、在野检测与识别

国家计算机病毒应急处理中心在风险提示中给出了四条风险判断，其中三条直接可用于检测落地。

勒索信本身的结构也值得关注。官方公布的勒索信模板包含被加密文件的恢复说明、两条联络渠道、每个受害者的独立 key，以及一条“提供 3 个不超过 3 MB 文件的免费解密（不含 zip、db、backup）”的服务承诺。

这条免费解密条款是典型的谈判诚意测试——它是为了让你先支付，而不是为了帮你恢复数据。官方结论已经写得很明确：没有解密密钥时暂无可靠恢复方法。

关键判断：官方特意点名解密工具骗局，说明这一轮已经出现了针对该家族的配套诈骗。勒索事件中的第一个决策风险，不来自攻击者，而来自急于恢复的内部人员。处置流程里必须写清楚：任何人不得自行下载、安装、运行外部来源的解密工具。

四、受影响范围与处置重点

官方在防范措施部分给出的建议覆盖多个层面，以下按企业可执行度做归并。

账号与口令：官方要求强制强密码策略（大小写字母、数字、特殊符号组合，12 位以上）并强制定期更换；要求定期检测内部系统是否存在弱口令，并对异常登录行为进行审计。

网络边界：官方要求限制互联网访问管理接口、限制可访问管理接口的 IP 地址、采用双因素认证；对 VPN、远程桌面等远程接入方式同样要求双因素认证、限制登录 IP、复杂密码策略并定期更换。

分区隔离：官方明确要求将承载 ERP、财务系统等重要业务的服务器与普通办公设备进行网络隔离，确保不在同一子网并设置访问控制策略；同时只开放与业务相关的必要服务端口，其余端口一律关闭。

漏洞与补丁：官方要求定期对操作系统、应用程序、数据库等所有软件进行漏洞扫描和补丁更新，尤其是安全补丁；条件允许时部署自动化补丁管理系统。

终端防护：官方要求所有终端和服务器均安装终端安全软件、保持病毒库实时更新并开启实时监控；可疑文件可先行上传至国家计算机病毒协同分析平台检测。

备份与日志：官方要求对重要数据特别是财务数据、业务数据建立异地备份机制，并确保备份数据不与工作和生产环境网络直连；要求定期演练恢复流程；日志需保存至少六个月以备审计和追溯。

关键判断：官方这六条里，有两条是绝大多数政企单位最容易漏、也最致命的——备份不与生产环境网络直连和定期演练恢复流程。前者防的是勒索把备份一起加密，后者防的是有备份但恢复不了。没有演练过的备份，在勒索面前等于没有备份。

五、终端与主机管控盲区排查清单

结合官方措施与 Weaxor 的攻击特点，给出一份可直接照单执行的五查。

一查业务服务器账号：OA、数据库、财务、人事系统主机上是否存在弱口令、默认口令、长期未更换口令的运维账号；是否存在跨系统复用同一套口令的情况。参照标准为 12 位以上复杂密码加定期更换。

二查分区与端口：承载重要业务的服务器是否与普通办公设备在同一子网；是否设置了访问控制策略；非业务必要端口是否处于关闭状态。这一条直接决定一台服务器被攻破会不会迅速变成整个内网被拖下水。

三查投送通道：服务器上是否存在异常的 PowerShell 执行记录；远程控制工具如 TeamViewer、ToDesk、向日葵等是否长期常驻；远程运维账号是否长期有效且从未回收。官方对此的表述很直接：不要把远程 VPN 管理权限直接委托给供应商长期使用，每次远程维护应临时安装、全程监督、结束后立即卸载。

四查备份独立性：备份是否满足 3-2-1 原则（至少 3 份副本、2 种介质、1 份离线）；备份存储是否与生产网同网段、是否与业务账号共用凭据；最近一次恢复演练是什么时候、是否成功过。这一条是本轮通报中权重最高的自查项。

五查日志留存与账号改密：关键系统的登录日志、操作日志、安全事件日志是否已归集并保存至少六个月；若确认服务器已感染，该主机上所有系统账号与域账号必须视为已泄露并全量改密。

六、几点判断

判断一：不传播的勒索病毒，防线的重心不在网络层，在账号层。Weaxor 由攻击者定向投送，意味着网络隔离能挡住横向传播这件事对它基本无效。弱口令与未修补的服务端漏洞才是它的入口，而这两项恰好是政企单位历史欠账最集中的地方。

判断二：这是一起凭据泄露事件，不是单纯的文件加密事件。官方明确披露 Windows 平台变种具备窃取本地 Windows 系统与域登录凭据的能力。加密文件是攻击者要的结果，拿到域凭据才是攻击者真正的目的。按前者处置会显著低估损失。

判断三：在没有解密密钥的条件下暂无可靠的恢复方法，所以备份不是选项而是前提。官方的恢复结论，加上同期 SafePay 勒索联合通告中攻击者把备份 NAS 恢复出厂的行径，共同指向一个事实：攻击者正在系统性地摧毁受害者的恢复能力。备份离线化、网络隔离、定期演练恢复流程，这三件事从加分项变成了及格线。

判断四：官方点名 AI 增强的攻击是一个值得记录的信号。本次预警报告的风险提示中明确写到，网络犯罪分子借助人工智能能够突破语言文字、专业领域、攻击技术等知识屏障，攻击的自动化程度和技术水平显著提升，并直言忽视网络安全的侥幸心理已无生存空间。这句话不该只停留在通报里。

信息来源

本文全部事实来自国家计算机病毒应急处理中心与计算机病毒防治技术国家工程实验室《关于“Weaxor”勒索病毒网络攻击活动持续活跃的预警报告》（2026-10-22），以及央视新闻等媒体对该预警报告的转载报道。

核验方式：勒索信模板、加密后缀列表、攻击活动五步图、防范措施、域凭据窃取能力等，均可在上述官方预警报告原文中逐条比对。本文使用的官方防范措施原文中，官方同步整理发布了《网络信息系统和主机网络安全保养卡》供公众参考。

官方确认事实与未核验事项

属于官方明确确认的事实：境内已发现多起真实攻击事件；病毒具有多个版本并按操作系统分别投送；覆盖大部分 Windows 与 Linux 平台；无主动传播功能；主要攻击方式为弱口令或系统 / 软件漏洞入侵，再通过 PowerShell 脚本与远程控制工具投放；主要针对企业数据库、OA 办公系统及其他业务系统；加密结构为椭圆曲线加密 AES 密钥、AES 加密 ChaCha20 密钥、ChaCha20 加密文件；加密后缀为 .rox / .weax / .wxx / .wxr / .weaxor / .roxaew / .wax；感染 Windows 平台者具备窃取本地系统与域登录凭据的能力；无解密密钥时暂无可靠恢复方法；网络传播的解密工具存在二次感染风险。

官方未公开或未核验的事项：本次具体受害单位名单、受害数量、感染规模、攻击者身份与组织归属、攻击活动最早开始时间、最终数据是否已外传或被用于二次施压、赎金金额区间，均为未公开或未核验，本文不作任何推测。

免责声明：本文为防守向安全通告，仅用于风险提示与自查指引，不提供任何攻击方法、可运行恶意代码或第三方解密工具指引。文中引用的官方风险信息均以国家计算机病毒应急处理中心、国家计算机病毒协同分析平台等官方渠道发布内容为准。实际处置请结合本单位业务连续性要求与专业安全服务机构的现场研判。

本文为技术信息分享，不构成对任何具体单位的评价。所有数字与结论均以官方通报原文为准。