实测分享：应对weax变种的解密与恢复技巧

liukai

　　weax勒索病毒的后缀变化特征

　　最近不少用户反馈，原本以.xxx为后缀的weax勒索病毒，近期悄悄更换了后缀，直接变成了.weax。这个变种的传播路径和之前类似，主要通过钓鱼邮件附件、恶意下载链接或者未打补丁的系统漏洞入侵，感染后会加密办公文档、图片、压缩包等各类文件，后缀替换成.weax后，就算是老玩家也容易误判成其他病毒。比如我身边做电商的小周，上周就中了这个变种，他的产品详情页图片本来是.jpg，感染后直接变成了.jpg.weax，一开始以为是文件损坏，后来才知道是weax的新变种。weax勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　发现感染后的第一时间操作

　　一旦发现文件后缀变成.weax，别着急重启电脑，也不要随意删除可疑文件。首先要断开所有外部存储设备，比如U盘、移动硬盘，避免病毒扩散到其他设备；然后断开网络，防止黑客远程操作进一步加密文件；接着备份好当前的加密文件，哪怕是损坏的，也不要覆盖，因为后续恢复可能需要样本。小周当时就是没及时断开共享服务器的连接，差点让公司的核心数据也被加密，后来紧急断网才稳住局势。

　　手动解密的基础技巧（附案例）

　　手动解密主要针对没有完全加密的文件，或者存在漏洞的病毒变种。首先可以优先检查云端备份，很多用户会忽略网盘的自动同步功能，小周就是在百度网盘里找回了三天前的未加密产品主图，恢复了大半核心宣传素材。另外，还可以用系统的阴影副本功能，右键点击加密文件，选择“属性”里的“之前的版本”，如果有恢复点的话，能直接还原到感染前的状态，这个方法小周试了，成功恢复了两个丢失数据的Excel订单报表。

　　工具辅助恢复的靠谱选择

　　如果手动恢复不行，可选择正规安全厂商的解密工具。比如360安全卫士的勒索病毒查杀功能，就包含了weax变种的解密模块，能扫描并修复部分被加密的文件；还有R-Studio数据恢复工具，可扫描磁盘上的未加密碎片，小周用这个工具找回了约30%的被加密文件碎片，虽然不是全部，但也减少了不少业务损失。要注意不要用不知名的破解工具，避免二次感染更复杂的病毒。

　　事后防护的关键步骤

　　恢复数据后，一定要做好防护避免再次中招。首先要给系统打全所有安全补丁，尤其是Office、浏览器这些常用软件；然后不要随便打开陌生邮件的附件，尤其是.exe、.scr这类可执行文件；还要定期备份数据，最好是离线外接硬盘备份，不要只存在本地。小周后来给公司所有电脑装了实时防护的安全软件，还设置了每周自动备份，之后半年都没再出现过勒索病毒的问题。