Weaxor 勒索病毒解密与数据恢复

Weaxor 于 2024 年下半年首次被发现，公开研究普遍认为它是 Mallox（TargetCompany）的改名或同源后继：攻击目标同样以 Microsoft SQL Server 为核心，投放链路、混淆手法与运营风格都承接自 Mallox，但换用了新的品牌名与后缀，并使用修复后的加密实现。

国内情况最需要重视：360 的 2025 年勒索软件流行态势报告显示，Weaxor 在多个月份位居国内感染量第一——1 月约 40%、3 月约 35.97%、5 月约 28.27%、6 月约 52.24%、10 月约 38.06%。也就是说，Weaxor 已取代 Mallox 成为国内感染量最大的勒索家族之一；进入 2026 年这一态势进一步强化，7 月占比 45.45%、8 月升至 65.74%，为 360 月报中记录到的最高值。技术上它比 Mallox 更复杂：使用多层混淆的初始加载器、PowerShell 与批处理脚本投放、进程注入、AMSI 绕过与 Cobalt Strike shellcode；攻击面也在扩大，有研究记录到其利用面向互联网的 Web 服务漏洞（如被追踪为 React2Shell 的 CVE-2025-55182）作为初始访问途径。

加密后缀：.rox 最常见，此外还有 .weax、.wxx，360 的国内态势报告中还记录到 .wax、.roxaew 等变体。

勒索信：RECOVERY INFO.txt，这是最可靠的识别依据。内容引导受害者下载 Tor 浏览器并访问指定链接联系攻击者，同时给出两个匿名邮箱（常见 tuta.com、anche.no 等域名）作为备用渠道，并承诺可免费试解 3 个文件、每个不超过 5MB，明确排除数据库与备份文件。

入侵痕迹（判定入口的关键）：MS SQL Server 方向——错误日志中大量 sa 账号登录失败后跟一次成功，xp_cmdshell 被启用或通过 CLR/OLE 组件执行系统命令，sqlservr.exe 派生出 PowerShell 或异常可执行文件；Web 服务方向——中间件访问日志中出现针对特定漏洞路径的请求，随后出现 WebShell 访问。

与 Mallox 的区分：Mallox 是 FILE RECOVERY.txt 等勒索信加 .mallox/.bitenc 后缀；Weaxor 是 RECOVERY INFO.txt 加 .rox/.weax/.wxx。这直接决定 Avast 解密器是否可能适用。

Weaxor 继承了 Mallox 的核心路线并在此基础上扩展。

1. MS SQL Server 弱口令爆破（主要入口）：扫描互联网上开放 1433 端口的 SQL Server 实例，对 sa 等高权限账号跑字典与暴力破解；登录成功后启用 xp_cmdshell 或利用 CLR/OLE 组件执行系统命令，下载并运行载荷。国内大量制造、零售、贸易企业把数据库端口直接暴露在公网且 sa 口令多年未改，这类资产是其稳定来源。2026 年的监测还记录到一种变化：部分版本爆破数据库登录成功后并不直接投毒，而是先植入 AnyDesk 等远控工具，再由攻击者手工投毒，因此排查时不能只看加密时间点前后的进程。

2. 面向互联网的 Web 服务漏洞：有研究记录到 Weaxor 利用被追踪为 React2Shell 的 CVE-2025-55182 等漏洞作为初始访问途径。这条路线与 TellYouThePass 类似：紧跟公开漏洞的披露节奏，对暴露资产做规模化投放。此外也有 RDP 弱口令与恶意邮件附件等常见途径。

3. 内核级对抗：360 在 2026 年的月报中描述，其攻击链会通过 PowerShell 加载载荷并注入系统进程，随后多轮加载不同的漏洞驱动与安全软件做内核对抗（BYOVD 式手法）。应急排查时应同时检查异常驱动的加载记录与远控工具的安装痕迹，这两类证据往往比加密程序本身更能还原入侵过程。

Weaxor 沿用了 Mallox 谱系的混合加密方案（对称算法加密文件内容 + 非对称算法保护密钥），但使用的是修复了密码学缺陷之后的实现。这一点至关重要：Avast 当年之所以能发布 Mallox 解密器，正是因为 2024 年 3 月之前的版本存在可利用的实现缺陷；修复后包括 Weaxor 在内的后续版本都不存在这条捷径。

与数据库相关的行为（国内案例的核心）：主动终止 SQL Server、MySQL、Oracle 及备份代理的进程与服务；明确把数据库文件与备份文件（.mdf、.ldf、.bak、.trn、.dbf、.ibd）列入加密目标；删除卷影副本与恢复点；加密范围覆盖本地磁盘、映射网络驱动器与可访问共享。混淆加载与 AMSI 绕过等规避手法增加了取证难度，也意味着恢复前必须彻底清除残留载荷与持久化。

关于大文件的处理方式：公开资料未对各版本给出统一结论，必须实测——抽取 .mdf、.ldf、.dbf、.ibd 与大型压缩包，分析加密块的分布与步长后再判断结构级修复是否可行。