关注技术突破，助力受损用户数据恢复

liukai

　　当前weax/rox勒索病毒的传播新态势

　　进入2024年，weax/rox勒索病毒的攻击场景出现明显变化，不再局限于传统中小企业，近期已开始针对医疗、教育等敏感行业的分支系统展开渗透。比如今年2月，某县域医院的挂号系统被该病毒加密，近1.2万份患者门诊记录无法调取，院方最初准备支付等值50万元的比特币赎金，后经安全机构介入才得知解密技术有了新突破。该病毒仍以钓鱼邮件为主要传播载体，附件多伪装成“客户对账函”“会议通知”等常规文件，员工点击后会触发后台加密程序，且加密时会优先锁定数据库、生产系统等核心数据文件夹。中了勒索病毒怎么办https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　解密工具的研发核心突破

　　此前weax/rox勒索病毒的加密密钥存储在攻击者的远程服务器上，安全机构无法获取有效密钥，导致解密工作长期停滞。直到今年4月，某国际安全团队在追踪该病毒的C2服务器时，发现其密钥存储逻辑存在漏洞——攻击者为测试新变种，曾在测试环境中留下了部分未加密的密钥样本。经过近两个月的逆向分析，团队成功破解了针对v2.3及以下版本病毒的密钥生成算法，无需依赖攻击者的服务器即可生成解密密钥，这也是该病毒自2023年大规模传播以来，首次出现无需赎金的解密可能。

　　已落地的成功解密案例

　　截至目前，该团队推出的解密工具已帮助超过30家受损用户恢复了数据。其中最具代表性的是某珠三角电子厂，今年1月其生产系统被weax/rox加密，涉及150台设备的生产调度数据，之前因担心数据泄露不敢随意支付赎金。使用新解密工具后，仅用36小时就恢复了98%的生产数据，工厂的复工时间比原计划提前了7天。不过，该工具暂不支持v2.4及以上的变种版本，这也是当前解密工作的主要局限，不少用户因感染新变种仍面临数据恢复难题。

　　受损用户的应急操作指南

　　对于已感染weax/rox勒索病毒的用户，首先要立即断开所有联网设备与外部网络的连接，避免病毒扩散到其他设备或服务器。其次，不要随意点击陌生链接或回复攻击者的勒索信息，尤其是不要支付赎金——支付赎金不仅无法保证数据安全，还可能助长攻击者的嚣张气焰，后续可能发起更多攻击。如果确认是v2.3及以下版本，可通过安全机构官网申请免费的解密工具，操作时需注意备份加密后的原始文件，防止解密过程中出现数据丢失或损坏。

　　后续解密工作的待攻克难点

　　目前weax/rox勒索病毒的变种更新速度较快，攻击者已针对密钥存储逻辑进行了两次升级，导致v2.4及以上版本的解密工作暂时陷入停滞。安全团队正联合多家企业的技术人员，尝试从病毒的内存镜像中提取密钥碎片，预计在2-3个月内推出针对新版本的解密补丁。此外，如何帮助用户防范类似病毒的再次攻击，也是当前需要解决的问题，比如定期更新系统补丁、对员工进行钓鱼邮件识别培训、建立异地数据备份机制等，从根源上降低感染风险。