2026 年 10 月 22 日，国家计算机病毒应急处理中心与计算机病毒防治技术国家工程实验室通过国家计算机病毒协同分析平台（virus.cverc.org.cn）通报：我国境内已发现多起用户遭遇 Weaxor 勒索病毒攻击的事件，重要文件被加密后文件名追加 .weax 等后缀，主机上留有勒索信。
事件概述
Weaxor 是一个近期在我国和全球范围持续活跃的勒索家族，主要目标是企业数据库、OA 办公系统及其他业务系统。它有多个版本，会按目标操作系统投送对应程序，覆盖大部分 Windows 与 Linux 平台，对个人与单位用户均构成威胁。
与蠕虫型家族不同，Weaxor 没有主动传播能力，全部靠人工入侵后以自动或手动方式向内网投送。这也意味着，一旦内网出现第一台被加密的主机，通常说明边界或某台对外服务器早已被攻破。
技术细节
官方梳理的攻击链分三步：
- 撬门：利用弱口令，或系统与软件漏洞入侵服务器；
- 投放：通过 PowerShell 脚本、远程控制工具等把勒索程序送进目标内网；
- 加密：加密文件并留下勒索信，要求联系攻击者支付赎金。
加密方案是三层嵌套：椭圆曲线加密保护 AES 密钥，AES 加密 ChaCha20 密钥，最后由 ChaCha20 加密文件本体。这种结构的目的很明确——密钥分层，让「只拿到文件、拿不到密钥材料」的受害者无法靠分析文件头反推。
常见加密后缀
.rox .weax .wxx .wxr .weaxor .roxaew .wax值得单独注意的一点：Windows 版本还具备窃取本地保存的系统与域登录凭据的能力。这意味着加密只是最后一步，攻击者在此之前可能已经拿到域内凭据，横向渗透的风险不会随文件解密而消失。
影响评估
官方明确指出，在没有解密密钥的条件下，被加密的数据暂时没有可靠恢复方法。同时提示，网络上流传的「勒索病毒解密工具」多为骗局，本身可能带二次感染的木马。换句话说，付赎金不能保证恢复，找第三方工具则可能把一次事故变成两次。
对中小规模网络运营者，这个家族的危险性在于起点太低：一台暴露在公网、用弱口令登录的服务器，或者一个没打补丁的 OA、数据库端口，就够用了。
检测层面，瑞星引擎已将样本识别为 Ransom.TargetCompany!1.146A4，可作为自查时的比对依据。
修复建议
- 收紧入口：远程桌面 3389、数据库 3306/1433/5432、各类面板端口一律不裸奔公网，改走 VPN 或 IP 白名单。这一条能挡掉绝大多数案例。
- 口令与多因素：管理员账号强口令加 MFA，禁用或改名默认账户，清理长期不用的账号与共享口令。
- 盯住 PowerShell：开启脚本块日志（事件 ID 4104）与命令行审计，关注带
-enc的编码调用和远程下载执行。 - 备份离线化：至少一份备份与生产网络物理隔离或置于不可变存储，并定期做恢复演练——能恢复才是备份，不能恢复只是一份副本。
- 主机侧检出：部署 EDR 并保持病毒库更新，对大批量文件改名、卷影副本删除等行为告警。
- 不迷信解密工具：确认中招后先断网留证，再走官方渠道，不要下载来路不明的解密器。