10月份Weax勒索病毒大爆发，舍末无勒专家教你如何确认weaxor勒索家族

企业服务器上的ERP突然无法连接,数据库文件打不开,合同、报表和备份文件被增加陌生后缀,多个目录同时出现要求付款的文本——这些异常往往意味着企业正在经历勒索攻击。

进入10月,企业仍需关注此前持续活跃的Weaxor勒索家族。面对文件末尾出现的 .weax,首先要做的是确认感染类型、控制影响范围并保留恢复条件。舍末无勒围绕企业常见的识别难点,整理以下判断方法,帮助受影响用户准备有效的分析材料。

一、Weax和Weaxor是什么关系

“Weax”通常是用户根据加密文件的 .weax 后缀形成的称呼,Weaxor则是公开研究使用的家族名称。研究将Weaxor与Mallox(TargetCompany)联系起来,认为其具有代码和攻击方式上的传承关系。[1]

这一名称对应多个版本。2026年6月的公开报告明确记录了 rox、weax、xor 三类变种轮番出现。[2] 因此,文件没有变成 .weax,也不能直接排除Weaxor;反过来,仅凭一个后缀,也不足以完成家族确认。

此前公开感染反馈中,Weaxor在2026年6月、7月、8月的占比分别为32.47%、45.45%和65.74%,连续排名第一。这些数据来自同一机构收到的反馈样本,说明其在该样本中的占比上升,不等于全国感染率,也不能证明10月份新增感染规模。[2][3][4]

二、确认Weaxor,应同时查看四类线索

1. 加密后缀与文件内容

先检查多个目录,记录不同类型文件的完整名称。以下为文件命名示意,并非每个版本都采用相同格式:

财务报表.xlsx.weax

合同扫描件.pdf.rox

业务数据库.mdf.xor

如果文档、图片、数据库等不同格式文件在相近时间集中变更后缀,同时无法被原有软件正常读取,应按疑似勒索事件处理。

修改后缀只能改变文件名称,不能撤销内容加密。不要在原件上批量改名,也不要将“改名后能打开少数文件”当作整台服务器已经恢复。

2. 勒索信的文件名与正文

已公开案例出现过 RECOVERY INFORMATION.txt、RECOVERYINFORMATION.txt 等名称;其他版本也可能使用不同名称。勒索信通常包含加密说明、联系渠道和受害者标识。[5][6]

识别时应保存完整正文,检查是否含有Weaxor相关标识,并与后缀、文件结构一起比对。勒索信可能被修改、复制或仿冒,单独看到某个名称仍不能作为最终结论。

3. 附加文件与主机记录

公开应急案例记录了 weax.txt,英文社区感染反馈也出现过 rox.txt。[5][6] 这些文件有时能提供主机信息或攻击关联线索,但不是每起感染都会出现。

同时应保留首次异常时间、数据库登录记录、远程访问记录和终端防护告警。日志清除、安全防护被关闭、陌生远控工具出现等异常,有助于还原入侵过程;它们本身不具有Weaxor独占性。

4. 加密文件与恶意样本的技术比对

可靠的确认需要结合加密文件的头部、尾部、附加元数据及加密范围进行分析。如果存在可疑程序,还可在隔离环境中比对样本哈希、代码特征和运行行为。

舍末无勒建议将“后缀相符”“勒索信相符”和“样本分析确认”分开记录。初步线索用于快速响应,技术分析用于确认家族与具体版本,进而评估恢复路径。

三、为什么数据库和业务服务器需要重点排查

Weaxor的公开攻击记录涉及软件漏洞利用、数据库口令暴力破解、PowerShell载荷加载和进程注入。部分攻击还会植入AnyDesk远控,再投放勒索程序;部分版本使用带漏洞的驱动对抗安全软件。[3]

这意味着,即使发现并删除了加密程序,攻击者此前取得的访问权限、植入的远控工具或其他驻留组件,也可能仍然存在。

攻击入口同样不局限于数据库。S-RM在2025年12月公布过利用React2Shell漏洞入侵后投放Weaxor的案例,说明Web服务器漏洞也可能成为入口。[5] 2026年5月的报告还记录了 .rox 后缀的Linux样本,企业应将相关平台纳入排查范围。[7]

这些案例描述不同时间、不同攻击链,不能假定每起Weaxor感染都具备全部行为。实际处置仍需依据本机证据。

四、发现疑似Weaxor后,先保护恢复条件

发现文件持续被修改或加密时,应立即隔离受影响主机的网络连接,并限制其访问共享目录、备份存储和其他服务器。是否关机,应结合加密是否仍在进行、内存取证需求和业务情况判断。

在执行重装、清理或恢复操作前,应保存勒索信、加密文件原件及必要日志。条件允许时制作磁盘镜像;不要在原始数据库上反复尝试来源不明的解密器或修复工具。

备份也需要先验证。应确认备份时间、可读性及是否受到影响,在隔离环境中测试恢复,并在处理入侵入口后再恢复业务系统,避免再次加密。

五、舍末无勒如何开展识别与恢复评估

对企业来说,确认“中了哪种病毒”只是起点。后续还需要明确:哪些数据真正被加密、哪些备份仍可使用、是否存在持续入侵,以及哪些业务应优先恢复。

用户可以准备以下材料,通过舍末无勒官方网站提交评估:

完整勒索信,以及几种加密文件的名称截图;

少量不含敏感内容的加密样本;如有相应原文件,可一并提供;

首次异常时间、操作系统版本和受影响业务系统;

数据库类型、备份时间及快照情况;

已经执行过的改名、清理、修复或重装操作。

文件样本和日志可能包含商业信息,应通过约定的安全渠道传递。

舍末无勒的Weax勒索病毒解密与勒索病毒恢复服务,可围绕家族识别、影响范围排查及数据恢复可行性开展评估。具体方案需要结合版本、密钥条件、备份完整性和文件损坏程度确定。

“恢复数据”可能来自可用密钥、备份、快照或其他经验证的数据来源。确定方案时,应明确所采用的技术路径与可恢复范围,避免将个别文件恢复结果扩大为全部数据都可解密的承诺。

如果服务器已经出现陌生加密后缀和勒索信,应尽快保留原始材料,完成识别与评估后再实施恢复操作。