企业服务器上的ERP突然无法连接，数据库文件打不开，合同、报表和备份文件被增加陌生后缀，多个目录同时出现要求付款的文本——这些异常往往意味着企业正在经历勒索攻击。

进入10月，企业仍需关注此前持续活跃的Weaxor勒索家族。面对文件末尾出现的 .weax，首先要做的是确认感染类型、控制影响范围并保留恢复条件。舍末无勒围绕企业常见的识别难点，整理以下判断方法，帮助受影响用户准备有效的分析材料。

舍末无勒 勒索病毒解密 勒索病毒恢复 Weax勒索病毒处理专家 官网 https://noransom.net/

一、Weax和Weaxor是什么关系

“Weax”通常是用户根据加密文件的 .weax 后缀形成的称呼，Weaxor则是公开研究使用的家族名称。研究将Weaxor与Mallox（TargetCompany）联系起来，认为其具有代码和攻击方式上的传承关系。[1]

这一名称对应多个版本。2026年6月的公开报告明确记录了 rox、weax、xor 三类变种轮番出现。[2] 因此，文件没有变成 .weax，也不能直接排除Weaxor；反过来，仅凭一个后缀，也不足以完成家族确认。

此前公开感染反馈中，Weaxor在2026年6月、7月、8月的占比分别为32.47%、45.45%和65.74%，连续排名第一。这些数据来自同一机构收到的反馈样本，说明其在该样本中的占比上升，不等于全国感染率，也不能证明10月份新增感染规模。[2][3][4]

二、确认Weaxor，应同时查看四类线索

1. 加密后缀与文件内容

先检查多个目录，记录不同类型文件的完整名称。以下为文件命名示意，并非每个版本都采用相同格式：

• 财务报表.xlsx.weax

• 合同扫描件.pdf.rox

• 业务数据库.mdf.xor

如果文档、图片、数据库等不同格式文件在相近时间集中变更后缀，同时无法被原有软件正常读取，应按疑似勒索事件处理。

修改后缀只能改变文件名称，不能撤销内容加密。不要在原件上批量改名，也不要将“改名后能打开少数文件”当作整台服务器已经恢复。

2. 勒索信的文件名与正文

已公开案例出现过 RECOVERY INFORMATION.txt、RECOVERYINFORMATION.txt 等名称；其他版本也可能使用不同名称。勒索信通常包含加密说明、联系渠道和受害者标识。[5][6]

识别时应保存完整正文，检查是否含有Weaxor相关标识，并与后缀、文件结构一起比对。勒索信可能被修改、复制或仿冒，单独看到某个名称仍不能作为最终结论。

3. 附加文件与主机记录

公开应急案例记录了 weax.txt，英文社区感染反馈也出现过 rox.txt。[5][6] 这些文件有时能提供主机信息或攻击关联线索，但不是每起感染都会出现。

同时应保留首次异常时间、数据库登录记录、远程访问记录和终端防护告警。日志清除、安全防护被关闭、陌生远控工具出现等异常，有助于还原入侵过程；它们本身不具有Weaxor独占性。

4. 加密文件与恶意样本的技术比对

可靠的确认需要结合加密文件的头部、尾部、附加元数据及加密范围进行分析。如果存在可疑程序，还可在隔离环境中比对样本哈希、代码特征和运行行为。

舍末无勒建议将“后缀相符”“勒索信相符”和“样本分析确认”分开记录。初步线索用于快速响应，技术分析用于确认家族与具体版本，进而评估恢复路径。

三、为什么数据库和业务服务器需要重点排查

Weaxor的公开攻击记录涉及软件漏洞利用、数据库口令暴力破解、PowerShell载荷加载和进程注入。部分攻击还会植入AnyDesk远控，再投放勒索程序；部分版本使用带漏洞的驱动对抗安全软件。[3]

这意味着，即使发现并删除了加密程序，攻击者此前取得的访问权限、植入的远控工具或其他驻留组件，也可能仍然存在。

攻击入口同样不局限于数据库。S-RM在2025年12月公布过利用React2Shell漏洞入侵后投放Weaxor的案例，说明Web服务器漏洞也可能成为入口。[5] 2026年5月的报告还记录了 .rox 后缀的Linux样本，企业应将相关平台纳入排查范围。[7]

这些案例描述不同时间、不同攻击链，不能假定每起Weaxor感染都具备全部行为。实际处置仍需依据本机证据。

四、发现疑似Weaxor后，先保护恢复条件

发现文件持续被修改或加密时，应立即隔离受影响主机的网络连接，并限制其访问共享目录、备份存储和其他服务器。是否关机，应结合加密是否仍在进行、内存取证需求和业务情况判断。

在执行重装、清理或恢复操作前，应保存勒索信、加密文件原件及必要日志。条件允许时制作磁盘镜像；不要在原始数据库上反复尝试来源不明的解密器或修复工具。

备份也需要先验证。应确认备份时间、可读性及是否受到影响，在隔离环境中测试恢复，并在处理入侵入口后再恢复业务系统，避免再次加密。

五、舍末无勒如何开展识别与恢复评估

对企业来说，确认“中了哪种病毒”只是起点。后续还需要明确：哪些数据真正被加密、哪些备份仍可使用、是否存在持续入侵，以及哪些业务应优先恢复。

用户可以准备以下材料，通过舍末无勒官方网站提交评估：

• 完整勒索信，以及几种加密文件的名称截图；

• 少量不含敏感内容的加密样本；如有相应原文件，可一并提供；

• 首次异常时间、操作系统版本和受影响业务系统；

• 数据库类型、备份时间及快照情况；

• 已经执行过的改名、清理、修复或重装操作。

文件样本和日志可能包含商业信息，应通过约定的安全渠道传递。

舍末无勒的Weax勒索病毒解密与勒索病毒恢复服务，可围绕家族识别、影响范围排查及数据恢复可行性开展评估。具体方案需要结合版本、密钥条件、备份完整性和文件损坏程度确定。

“恢复数据”可能来自可用密钥、备份、快照或其他经验证的数据来源。确定方案时，应明确所采用的技术路径与可恢复范围，避免将个别文件恢复结果扩大为全部数据都可解密的承诺。

如果服务器已经出现陌生加密后缀和勒索信，应尽快保留原始材料，完成识别与评估后再实施恢复操作。

舍末无勒｜勒索病毒解密 · 勒索病毒恢复 · 网络安全事件应急响应
官方网站：https://noransom.net/