Weaxor 勒索病毒国内持续活跃 CVERC 与央视接连通报处置要点

这两天在给一台老服务器排备份策略，顺手翻官方通报，看到国家计算机病毒应急处理中心 10 月 22 日挂出来的那份 Weaxor 预警报告。央视新闻当天也发了通稿，光明网等媒体跟着转发。我当时的第一反应是"又是一个国外家族的搬运稿吧"，点进 CVERC 原文看完发现不是，这次是他们在境内实际抓到了多起感染事件，样本、勒索信、加密示例图都贴了，属于已经被打到家门口的通报，值得认真对待。



先把事件本身说清楚。CVERC 和计算机病毒防治技术国家工程实验室依托国家计算机病毒协同分析平台，在我国境内发现多起用户遭遇 Weaxor 攻击的事件，重要文件被加密后文件名变成原名加上 .weax 之类的后缀，主机上还留了勒索信要求联系支付赎金。这个家族有多个版本，攻击者按目标操作系统类型投送对应程序，覆盖大部分 Windows 和 Linux 平台，个人用户和单位用户都在射程内。

我比较在意的是它的入侵路径。CVERC 的描述是：Weaxor 没有主动传播功能，由攻击者先入侵，再以自动或手动方式向内网投送。主要手法是利用弱口令或系统/软件漏洞入侵服务器，然后通过 PowerShell 脚本、远程控制工具投放勒索病毒。也就是说，看到自己的防火墙日志里出现来历不明的 powershell.exe 外联，或者服务器上有从未装过的远控工具，就不能只当普通告警处理了。

加密这块，报告写得很具体：椭圆曲线加密 AES 密钥，AES 加密 ChaCha20 密钥，ChaCha20 加密文件，三层套下来密钥全部在线生成，没有离线破解的空间。加密后缀按版本不同有 .rox、.weax、.wxx、.wxr、.weaxor、.roxaew、.wax 等。主要目标是企业数据库、OA 办公系统和其他业务系统。

还有一点让我后背发凉：感染 Windows 平台的 Weaxor 会额外窃取本地保存的系统和域登录凭据。这意味着中招的不只是这一台机器的文件，攻击者拿着域凭据还能继续在内网渗透。CVERC 的原话是"攻击者可利用相关凭据进一步在目标内网实施网络渗透，造成更大损失"。我原来以为勒索就是加密完收钱，这种带凭据窃取的玩法等于把整个内网的门钥匙也顺走了。

关于恢复，报告说得直接：没有解密密钥的条件下，暂时没有可靠的恢复方法。网上传播的"勒索病毒解密工具"骗局还可能二次感染木马。所以别抱侥幸去下载来路不明的解密器，那基本是二次伤害。CVERC 把 IOC 指征整理成了文本文件挂在网上，可以直接拿去和自家 SIEM 的规则对一遍。

结合报告里的防范措施和我自己排机器的经验，几条最要紧的：

一是边界和远程接入。管理接口限制可访问的 IP，防火墙开双因素认证；VPN 和远程桌面严格管理，双因素、限登录 IP、复杂密码定期更换。CVERC 特意提到外包维护不要给供应商永久 VPN 授权，每次维护临时开远控软件、专人监督、结束即卸载——这条很多中小单位都做不到，但恰恰是弱口令入口的重灾区。

二是隔离和备份。承载 ERP、财务这类重要业务的服务器和普通办公网隔离，端口最小化开放。备份要做异地、定期，且备份网络和工作网络不直连，不然勒索软件连备份一起加密等于没备。

三是日志。关键系统的登录、操作、安全事件日志归集起来，至少保存六个月备审计。真出事的时候，能回答"攻击者从哪个口进来的"全靠这些日志。

CVERC 还配套放了一份《网络信息系统和主机网络安全保养卡》的 Excel 检查表，十条检查项，中小网络运营者可以直接下载对照自查。另外报告里有一段话我挺认同：AI 辅助下攻击者能突破语言和知识屏障、不遵守人类作息地持续攻击，"忽视网络安全的侥幸心理已无生存空间"。这话从应急处理中心嘴里说出来，不是贩卖焦虑，是他们天天看到真实案例后的结论。

以下是本次核对过的来源，CVERC 原文与央视通稿两边的细节（后缀列表、加密链、攻击路径、凭据窃取）逐项一致：

1. CVERC 信息安全摘要：关于"Weaxor"勒索病毒网络攻击活动持续活跃的预警报告（2026-10-22）
   https://www.cverc.org.cn/head/zhaiyao/news20261022-Weaxor.htm
   附 IOC 指征：https://www.cverc.org.cn/head/zhaiyao/Weaxor/iocs.txt
   附自查表：https://www.cverc.org.cn/head/zhaiyao/Weaxor/CyberSecurityCheckList.xlsx
2. 央视新闻《重要文件遭加密勒索 "Weaxor"勒索病毒网络攻击持续活跃》（2026-10-22）
   https://www.toutiao.com/article/7699308265267610150/
3. 光明网法治频道转载央视网消息（2026-10-22）
   https://legal.gmw.cn/2026-10/22/content_39060431.htm

**HKTULU**
2026-10-26