国家计算机病毒应急处理中心预警：“Weaxor”勒索病毒持续活跃，Windows与Linux用户均面临威胁

国家计算机病毒应急处理中心与计算机病毒防治技术国家工程实验室近日依托国家计算机病毒协同分析平台监测发现，我国境内已出现多起用户遭遇“Weaxor”勒索病毒攻击的事件。该病毒可覆盖大部分Windows和Linux操作系统平台，对个人及单位用户均构成较大威胁，目前相关攻击活动仍在持续。

据悉，被“Weaxor”加密的文件，其文件名会被篡改为“原文件名+特定后缀”的形式，后缀包括“.weax”“.rox”“.wxx”“.wxr”“.weaxor”等。攻击者在完成加密后，会在用户主机上留下勒索信，要求受害者主动联系并支付赎金以换取文件恢复。

与具备自传播能力的蠕虫式病毒不同，“Weaxor”本身没有主动传播功能。其投送依赖于网络犯罪分子的前期入侵。根据通报，攻击者的主要路径是利用目标服务器的弱口令或系统、软件漏洞实施突破，随后通过PowerShell脚本或远程控制工具，向目标内网手动或自动投放勒索程序。该病毒家族近期主要针对企业数据库、OA办公系统及其他业务系统，显示出明确的定向攻击倾向。

在加密机制上，“Weaxor”采用了多层加密策略：利用椭圆曲线加密AES密钥，再以AES加密ChaCha20密钥，最终由ChaCha20完成对文件的加密。值得注意的是，部分Windows版本还具备窃取本地保存的系统及域登录凭据的能力，这意味着攻击者可能在加密文件之外，进一步渗透内网其他设备。

针对当前态势，国家计算机病毒应急处理中心提示，在没有解密密钥的情况下，被该病毒加密的数据暂时没有可靠的恢复方法。网络上流传的所谓“勒索病毒解密工具”存在二次感染木马病毒的风险，用户应保持警惕。安全专家同时指出，即便通过备份恢复了数据，也不意味着风险已经解除，用户仍需排查最初的入侵入口、处置可能已泄露的登录凭据，并确认内网中是否还有其他设备遭到渗透。

对于广大用户尤其是中小规模网络运营者，建议尽快落实以下防护措施：限制公网对管理接口的访问，远程接入配置IP白名单与多因素认证；对重要服务器与办公设备实施分区隔离，仅开放必要端口；使用12位以上复杂密码并定期排查弱口令；及时修补系统与软件漏洞；确保终端与服务器安全软件处于实时监控状态，并定期更新病毒库；重要数据应坚持异地备份，且备份环境不与生产网络直连。