文章总结： Weaxor勒索病毒最新变种.wxx正通过财务管理系统漏洞发起攻击，疑似基于mallox源码修改，通过SQL注入和反序列化漏洞入侵系统，最终加密文件并清除日志。防范措施包括及时升级系统补丁、遵循最小权限原则、控制组件执行权限、部署WAF和加强输入验证，企业应立即检查财务系统安全性并做好数据备份。
综合评分： 91
文章分类： 恶意软件,漏洞分析,应急响应,数据安全,解决方案

【紧急警示】Weaxor最新变种“.wxx”来袭，批量入国内知名财务类管理系统发起勒索攻击！

原创

solarsec

solar应急响应团队

2025年4月22日 14:02
山东

在我们对4月份勒索病毒入侵事件的统计中，Weaxor 勒索病毒家族的活动频率位居首位，出现了多个变种版本，使用的加密后缀包括 .weaxor、.wxx、.wxr .rox 等，显示出该家族正在持续演化升级。

经溯源分析发现，该家族普遍通过企业部署的部分OA系统存在的安全漏洞实施入侵。在近期多个案例中，某些广泛使用的财务类管理系统成为攻击者重点利用的入口，相关系统漏洞暴露风险值得高度关注。

1.勒索病毒组织介绍

Weaxor家族在2024年11月首次现身，该勒索病毒会将“.rox”扩展名附加到受感染文件的名称后，并留下名为“RECOVERY INFO.txt”的勒索信。信中包含了Weaxor家族的暗网地址，受害者可以通过该地址进入一个一对一的聊天界面，其他人无法访问。值得注意的是，暗网地址的首页为空白，这一设计显得格外耐人寻味。

一对一聊天界面

首页

1.1疑似mallox源码修改

此加密器与mallox家族极其相似，疑似为mallox源码修改之后编译得到，mallox具体分析请参考文章【病毒分析】Mallox勒索家族新版本：加密算法全面解析

相似之处

1.都为不加密固定的五个语言俄语、哈萨克语、白俄罗斯语、乌克兰语和土库曼语；

2.都调整电源计划为高性能模式；

3.删除的注册表内容一致；

4.密钥生成和加密算法基本一致，但是rox在生成随机数的情况下又再次生成了0x38个字节的随机数，修复了mallox会被破解出密钥的情况；

5.信息回传的格式，以及url极其相似，mallox url如下：

http://193.106.191.141/QWEwqdsvsf/ap.php

rox url如下:

http://193.143.1.139/Ujdu8jjooue/biweax.php

不同之处

1.rox未对关机键进行隐藏；

2.获取文件方式不同，mallox获取文件方式为遍历文件，然后通过完成端口将文件提交到队列中，加密线程通过队列获取文件，而rox则是通过一个全局列表来传输；

3.rox开启了较高的编译优化，而malllox则没有。

2.勒索病毒样本分析

该勒索病毒样本的技术细节，我们已在此前发布的分析文章中进行了全面解读，欢迎回顾查看【病毒分析】新崛起的weaxor勒索家族：疑似mallox家族衍生版，深度解析两者关联！

3.攻击分析

在近期的溯源分析工作中，我们注意到部分企业部署的财务系统（如畅捷通 T+）在安全配置上存在一定风险点。攻击者疑似通过该系统的SQL注入漏洞进行初始渗透，进而调用系统组件执行恶意命令，从远程服务器下载并执行脚本，逐步提升权限，最终完成远程控制。

3.1产品介绍

畅捷通T+是一款面向中小企业的财务与业务一体化管理软件，集成了财务管理、库存管理、采购销售、报表生成等模块，支持多角色协同办公，广泛应用于零售、制造、服务等多个行业。用户可通过浏览器访问，实现多端操作与远程办公。

3.2黑客攻击路线图

4.溯源分析

2025/4/5 17:44:10-2025/4/5 17:44:19攻击者利用keyEdit.aspx接口存在的sql注入漏洞。

攻击者利用sql注入漏洞

攻击者首先修改SQL Server配置，启用高级选项并激活OLE自动化过程（如sp_oacreate），为后续利用对象自动化功能执行系统命令铺平道路。随后，攻击者通过wscript.shell组件执行恶意命令，并尝试利用SQL PowerShell（sqlps）运行IEX（Invoke-Expression），从远程服务器（http://107.149.212.224:8000/new）下载并执行恶意脚本。这一系列操作旨在绕过安全限制，获取系统控制权，最终实现远程代码执行（RCE）。

攻击者执行的sql语句

2025/4/7 10:06:08 攻击者疑似利用畅捷通T+ RRATableController,Ufida.T.DI.UIP.ashx 反序列化RCE漏洞。

攻击者利用反序列化漏洞

2025/4/7 10:06:42 攻击者疑似利用sysftprm.sys驱动漏洞提权被拦截。

拦截记录

2025/4/7 10:06:56 攻击者开始加密并清除Windows日志。

Windows日志被清除

5.防范措施

5.1升级与补丁

立即检查畅捷通T+是否为最新版本，及时应用官方提供的安全补丁https://www.chanjetvip.com/product/goods；

若使用旧版本，建议评估升级可行性，防止已知漏洞被利用。

5.2数据库账户最小权限原则

仅为应用分配最低权限数据库账户（禁止使用sa等高权限账户）；

禁止执行如xp_cmdshell、sp_configure等高危系统命令。

5.3组件执行权限控制

禁止Web服务账户写入/执行权限访问系统关键目录（如C:\Windows\Temp）；

限制 .jsp、.aspx 等脚本扩展在上传目录中执行。

5.4部署Web应用防火墙（WAF）

启用SQL注入、命令注入、远程代码执行等规则；

自定义规则过滤含有 UNION SELECT、xp_cmdshell、1=1 等敏感语句请求。

5.5输入合法性校验

开启应用系统的表单字段白名单机制，限制输入内容长度、格式和字符集；

对特殊字符（如引号、分号、单双破折号等）进行过滤或转义。

以下是solar安全团队近期处理过的常见勒索病毒后缀：

勒索攻击作为成熟的攻击手段，很多勒索家族已经形成了一套完整的商业体系，并且分支了很多团伙组织，导致勒索病毒迭代了多个版本。而每个家族擅用的攻击手法皆有不同，TellYouThePass勒索软件家族常常利用系统漏洞进行攻击；Phobos勒索软件家族通过RDP暴力破解进行勒索；Mallox勒索软件家族利用数据库及暴力破解进行加密，攻击手法极多防不胜防。

| | |
| — | — |
| 时间 | 相关文章 |
| 2024/12/12 | 【攻击手法分析】勒索病毒如何轻松绕过安全设备防线：第二篇-流量致盲，无声突破 |
| 2024/12/11 | 【攻击手法分析】勒索病毒如何轻松绕过安全设备防线：第一篇-驱动漏洞一击致命 |

而最好的预防方法就是针对自身业务进行定期的基线加固、补丁更新及数据备份，在其基础上加强公司安全人员意识。

| | |
| — | — |
| 时间 | 相关文章 |
| 2024/06/27 | 【教程分享】勒索病毒来袭！教你如何做好数据防护 |
| 2024/06/24 | 【教程分享】服务器数据文件备份教程 |

案例介绍篇聚焦于真实的攻击事件，还原病毒家族的攻击路径和策略，为用户提供详细的溯源分析和防护启示；

| | |
| — | — |
| 时间 | 相关文章 |
| 2024/06/27 | 【案例介绍】赎金提高，防御失效：某上市企业两年内两度陷入同一勒索团伙之手 |
| 2024/01/26 | 【成功案例】某集团公司的Phobos最新变种勒索病毒jopanaxye解密恢复项目 |
| 2024-03-13 | 【成功案例】某集团公司的Phobos最新变种勒索病毒2700解密恢复项目 |
| 2024-04-01 | 【成功案例】间隔数月双团伙先后利用某ERP0day实施入侵和勒索的解密恢复项目 |
| 2024-04-26 | 【成功案例】利用多款国产内网渗透工具勒索数十台虚拟机的babyk解密恢复项目 |
| 2024-05-17 | 【成功案例】RDP暴露引发的蝴蝶效应：LockBit组织利用MSF工具及永恒之蓝漏洞进行勒索入侵 |
| 2024-11-28 | 【成功案例】lockbit家族百万赎金不必付！技术手段修复被加密的数据库，附溯源分析报告 |

漏洞与预防篇侧重于技术层面的防御手段，针对病毒利用的漏洞和安全弱点，提出操作性强的应对方案：

| | |
| — | — |
| 时间 | 相关文章 |
| 2025/01/08 | 【漏洞与预防】RDP弱口令漏洞预防 |
| 2025/01/21 | 【漏洞与预防】MSSQL数据库弱口令漏洞预防 |
| 2025/02/18 | 【漏洞与预防】远程代码执行漏洞预防 |
| 2025/04/10 | 【漏洞与预防】Atlassian Confluence存在远程代码执行漏洞 |
| 2025/04/17 | 【漏洞与预防】畅捷通文件上传漏洞预防 |

应急响应工具教程篇重点分享应急响应过程中常用工具的安装、配置与使用说明，旨在帮助读者快速掌握这些工具的操作流程与技巧，提高其在实际应急场景中的应用熟练度与效率。

如果您想了解有关勒索病毒的最新发展情况，或者需要获取相关帮助，请关注“solar专业应急响应团队”。

更多资讯扫码加入群组交流

喜欢此内容的人还喜欢

【应急响应工具教程】Windows 系统综合排查工具Hawkeye

索勒安全团队

2025-3月Solar应急响应公益月赛排名及官方题解

索勒安全团队

【病毒分析】伪造微软官网+勒索加密+支付威胁，CTF中勒索病毒解密题目真实还原！

索勒安全团队

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：solar应急响应团队 solarsec《【紧急警示】Weaxor最新变种“.wxx”来袭，批量入国内知名财务类管理系统发起勒索攻击！》

Tags: 应急响应恶意软件数据安全漏洞分析解决方案

你可能错过

10月17日专题会议：数据安全防护与治理前沿学术会议

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

2026年人工智能大模型安全众测结果发布

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)