勒索病毒：.rox／.weax 如果使用默认或被截留种子加密，高概率可解密（山东思而听版）

3306-1

来源：https://mp.weixin.qq.com/s/CMw7l2WHNPTQlSMvx_Iehg
作者：Solar 应急响应团队
　　　思而听（山东）网络科技有限公司
种子：可简单理解为（解压密码派生方式）
　　　就像肉鸽游戏随机战局的种子派生
下载：本帖不提供任何版权软件，如需获取
　　　请向该软件的版权持有方沟通和联系
备注：仅供参考，向遭遇到如下勒索病毒的受害者们
　　　在条件满足下，获取合理合法的数据恢复希望

抄送：@火绒工程师  
帖主：目前火绒有勒索诱捕，但没有遭遇勒索时
　　　对案发内存快照，转储捕获种子兜底功能

参考图片




动向摘抄

1. 来源鸣谢
   
2. https://mp.weixin.qq.com/s/CMw7l2WHNPTQlSMvx_Iehg
   
3. 
   
4. 自 weax 勒索病毒
   
5. 开始使用 0day
   
6. 攻击国内应用系统以来，
   
7. 我们一直在持续跟进。
   
8. 
   
9. 先同步一个最新动向。
   
10. 近期该家族的加密后缀
    
11. 由此前的 .weax
    
12. 改为 .rox，
    
13. 例如 123.pdf.rox。
    
14. 
    
15. 从我们的处置现场看，
    
16. 勒索信样式、联系邮箱、加密流程均未变化，
    
17. 属于换汤不换药，
    
18. 只是改了一个扩展名。
    
19. 
    
20. 再谈两点
    
21. 我们从多起现场中
    
22. 得到的判断。
    
23. 
    
24. 其一：
    
25. 　　从攻击时间看，
    
26. 　　该家族的攻击动作大部分
    
27. 　　集中在每晚 19 点到 23 点左右，
    
28. 　　非常符合国内人员的作案作息；
    
29. 
    
30. 其二：
    
31. 　　近几起事件使用的漏洞
    
32. 　　均为未公开的 0day
    
33. 　　攻击源均为国内跳板 IP。
    
34. 　　0day 的来源目前没有定论，
    
35. 　　不排除攻击者通过一些渠道购买所得，
    
36. 　　我们会继续跟踪核实。
    
37. 
    
38. 既往 weaxor 勒索家族的受害对象
    
39. 几乎全是中小型企业，
    
40. 
    
41. 因为这类企业防护薄弱、安全投入有限
    
42. 是投入产出比最高的目标。
    
43. 
    
44. 但 0day 攻击的逻辑完全不同，
    
45. 它不挑企业规模，
    
46. 只要系统对外暴露，
    
47. 无论是中小企业还是大中型企业，
    
48. 都有被勒索的风险。

复制代码

文件解密

1. Solar 勒索解密工具
   
2. 使用捕获的密钥完成恢复
   
3. 6 个被加密文件全部解密成功

复制代码

软件界面

1. Solar 勒索解密工具 V1.2
   
2. 多勒索家族离线解密工具
   
3. 
   
4. 能力统计
   
5. 69 已支持家族
   
6. 87 已支持后缀
   
7. 49 已成功方案
   
8. 
   
9. 勒索家族
   
10. 选择家族
    
11. WEAXOR
    
12. 
    
13. 支持扩展名
    
14. .rox
    
15. .weax
    
16. 
    
17. 输入密钥
    
18. 输入 52 字节 Curve25519 seed
    
19. （十六进制，可留空使用内置 seed）
    
20. 22 OE ..... 28 02
    
21. 
    
22. 示例
    
23. A27B ..... 12FF
    
24. （不含空格、连字符的长度 104 字符）
    
25. 
    
26. 加密文件
    
27. 拖拽文件到此处
    
28. 
    
29. 点击下方按钮也可批量导入文件
    
30. 按钮：选择文件
    
31. 按钮：选择文件夹
    
32. 按钮：清空列表
    
33. 
    
34. 已选择待解密文件列表
    
35. 文件名　大小　路径
    
36. 队列清单（＿＿＿＿＿＿＿）
    
37. 
    
38. 运行日志
    
39. [+] Decrypt succeeded -> sierting.txt
    
40. [+] Decrypt succeeded -> 公司 logo 透明.png
    
41. [+] Decrypt succeeded -> 思而听（山东）宣传册 2306.pdf
    
42. [+] Decrypt succeeded -> 思而听简历模板 V3.1--无 logo.docx
    
43. ==============
    
44. 解密完成：成功 6 个，失败 0 个
    
45. 
    
46. 按钮：开始解密
    
47. 按钮：清空日志
    
48. 按钮：恢复壁纸
    
49. 
    
50. 进度条（==================》）
    
51. 状态描述（就绪）

复制代码

防范建议

1. 面对 0day，我们想给大家几条务实的建议：
   
2. 
   
3. 第一，
   
4. 　　尽量把这类
   
5. 　　承载财务与核心业务数据
   
6. 　　的系统收敛到内网。
   
7. 
   
8. 　　0day 的特点是公开前无规则、无特征，
   
9. 　　漏洞扫描扫不出尚未公开的漏洞，
   
10. 　　指望扫描和特征库防住 0day 是不现实的。
    
11. 
    
12. 　　最有效的办法就是减少暴露，
    
13. 　　能不对外发布就不对外发布，
    
14. 　　确实需要远程访问的，
    
15. 　　通过 V** 堡垒机或访问白名单兜底。
    
16. 　　暴露面越小，被打中的概率越低。
    
17. 
    
18. 第二，
    
19. 　　按第七节的方法做一次自查。
    
20. 　　重点看 ERRORLOG 里的配置变更记录
    
21. 　　和 xp_cmdshell 当前状态
    
22. 　　这两条成本最低、指向最直接。
    
23. 
    
24. 第三，
    
25. 　　保持数据库层面的最小权限。
    
26. 　　生产环境的 xp_cmdshell
    
27. 　　与 OLE 自动化应保持关闭
    
28. 　　数据库连接账户降权，
    
29. 　　对 sp_configure 配置变更设置告警。
    
30. 　　即使漏洞被利用，也能让攻击者拿不到顺手的服务器权限。
    
31. 
    
32. 第四，
    
33. 　　及时跟进官方修复。
    
34. 　　目前官方已有新版本补丁，
    
35. 　　但是否已经面向全部用户正式发布，
    
36. 　　建议咨询用友畅捷通官方客服
    
37. 　　或前往官网查看核实，并以官方答复为准。
    
38. 
    
39. 　　已部署该系统的企业，
    
40. 　　建议尽快联系官方
    
41. 　　确认自身版本的修复状态。
    
42. 
    
43. 第五，
    
44. 　　如果发现已被攻击的迹象，
    
45. 　　不要重装系统，先保留日志与现场，
    
46. 　　及时联系专业团队处置。
    
47. 
    
48. 　　需要协助排查或处置的，
    
49. 　　可以随时联系 Solar 应急响应团队。
    
50. 
    
51. 第六，
    
52. 　　防勒索 AI 疫苗（SAR）
    
53. 　　目前已支持 Weaxor 勒索家族
    
54. 　　相关病毒的密钥捕获。
    
55. 
    
56. 　　SAR 的核心思路
    
57. 　　是在勒索软件启动加密行为的瞬间，
    
58. 　　从内存中捕获加密密钥并留存，
    
59. 　　让数据恢复不必完全依赖攻击者 " 守信 " 。
    
60. 
    
61. 　　截至 2026 年上半年，
    
62. 　　SAR 已支持 69 个勒索家族、
    
63. 　　87 种加密后缀的密钥捕获，
    
64. 　　累计输出 47 份专项解密方案。

复制代码

奕境汽车

https://mp.weixin.qq.com/s/CMw7l2WHNPTQlSMvx_Iehg
文章说
C:\Windows\System32\uuAmyFeQV.exe(MD5：b76dd9d7a576d3653b52d9c4df177a78)
是2026年9月30日19:43落地
但是
https://opentip.kaspersky.com/b7 ... /results?tab=lookup
OP显示7月16就收集到了、、、

3306-1

奕境汽车 发表于 2026-10-19 20:40
https://mp.weixin.qq.com/s/CMw7l2WHNPTQlSMvx_Iehg
文章说
C:\Windows\System32%uuAmyFeQV.exe(MD5：b7 ...

结合上下文语境里的意思是，被攻击的张三案例
勒索病毒经高危漏洞，将投毒载体某时落地展开

就像现实里的流感病毒，国家于某时某日入库／公告该流感描述
实际流感病毒各区域传播落地时间，因环境等综合情况有所不同

结合动向描述，张三企业，可能由于企业规模／安全巡检缺失
防范意识淡薄等原因，加之公网与高危漏洞利用导致落地成功