国家计算机病毒应急处理中心警告：发现多起我国用户遭遇“Weaxor”勒索病毒攻击事件

IT之家 10 月 22 日消息，国家计算机病毒应急处理中心今日发文，国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室依托国家计算机病毒协同分析平台，在我国境内发现多起我国用户遭遇“Weaxor”勒索病毒攻击事件。

相关病毒样本信息

用户重要文件被加密后文件名被更改为原文件名 +“.weax”等后缀字符串。同时，攻击者还在用户主机上留下勒索信，要求用户与其联系并支付赎金。

勒索信内容

“Weaxor”勒索病毒具有多个版本，攻击者会根据目标操作系统类型投送相应的勒索病毒程序，可以覆盖大部分 Windows 和 Linux 操作系统平台，对个人用户和单位用户都具有较大威胁。

文件被加密示例（以 Windows 系统为例）

文件被加密示例（以 Ubuntu Linux 系统为例）

国家计算机病毒应急处理中心表示，勒索病毒家族“Weaxor”近期在我国和全球范围内持续活跃，主要针对企业数据库、OA 办公系统及其他业务系统。其没有主动传播功能，主要由网络犯罪分子实施入侵后，以自动或手动方式向目标内网投送。

网络犯罪分子的主要攻击方式为利用弱口令或系统 / 软件漏洞入侵服务器，再通过 Powershell 脚本、远程控制工具等方式投放勒索病毒来加密文件，勒索病毒采用椭圆曲线加密 AES 密钥，AES 加密 ChaCha20 密钥，ChaCha20 加密文件的方式进行加密，加密后的文件根据勒索病毒的版本，后缀通常会被修改为.rox、.weax、.wxx、 .wxr、.weaxor、.roxaew、.wax 等。

勒索病毒“Weaxor”攻击活动过程示意图

国家计算机病毒应急处理中心提示，在没有解密密钥的条件下，被该勒索病毒加密的数据暂时没有可靠的恢复方法。网络上传播的“勒索病毒解密工具”骗局可能存在二次感染木马病毒的风险。

广大用户，特别是中小规模网络运营者，应当定期对网络信息系统和主机做好“安全保养”，检查各项网络安全防护工作是否落实到位。

图源：Pixabay