Weaxor (.weax) 无文件攻击溯源：内存载荷如何绕开日志实现静默入侵
- 客户名称：国内某公司
- 售前服务顾问：陈顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
新变种载荷采用多层混淆封装，把恶意脚本嵌入伪装成报价单、合同、对账单的压缩包内。文件图标模仿PDF、Excel格式，员工打开压缩包双击执行后，恶意代码直接在内存加载，依托进程注入绕过终端防护程序的检测机制。载荷不会立刻启动加密动作，优先在主机内部完成信息搜集，抓取本地保存的账号凭证、内网网段信息，为横向移动做好准备。
Weaxor (.weax) 无文件攻击溯源：内存载荷如何绕开日志实现静默入侵
案例简介：
新变种载荷采用多层混淆封装，把恶意脚本嵌入伪装成报价单、合同、对账单的压缩包内。文件图标模仿PDF、Excel格式，员工打开压缩包双击执行后，恶意代码直接在内存加载，依托进程注入绕过终端防护程序的检测机制。载荷不会立刻启动加密动作，优先在主机内部完成信息搜集，抓取本地保存的账号凭证、内网网段信息，为横向移动做好准备。
序言
在近年一线应急处置的大量案例中，不少商贸、加工类小微企业的内网全面失陷，起点并非服务器端口爆破或是高危系统漏洞，仅仅是一封看似常规的业务邮件附件。数据的价值无法估量，一旦遇到任何数据相关的问题，欢迎添加我们的技术服务号（data788），我们将迅速响应，给予您最及时可靠的技术援助。后缀标记为.weax的威胁源自Mallox家族持续迭代而来，经过多轮代码调整之后，攻击链路更加精简，规避终端防护的手段也持续更新。很多小微企业管理者存在认知误区，认为钓鱼邮件属于老旧攻击方式，防护重心只放在服务器与防火墙层面，却忽略普通业务岗终端，最终单点被突破，进而引发整个内网连锁失守。
91数据恢复的文章以多起真实现场案例作为基础，溯源.weax变种迭代特征，拆解以钓鱼邮件附件为初始入口的完整攻击链条，复盘从小文件触发到全域数据受损的全过程，反思小微企业在人员管理、邮件使用、内网权限设计上存在的结构性短板。
.weax家族变种迭代特征，攻击逻辑持续演变
早期同家族毒株大多依赖数据库弱口令、公网端口扫描闯入系统，攻击目标偏向服务器设备。而近年活跃的.weax新变种，攻击策略出现明显转向，开始大量采用钓鱼邮件作为初始突破载体，针对业务人员的办公终端实施入侵。
新变种载荷采用多层混淆封装，把恶意脚本嵌入伪装成报价单、合同、对账单的压缩包内。文件图标模仿PDF、Excel格式，员工打开压缩包双击执行后，恶意代码直接在内存加载，依托进程注入绕过终端防护程序的检测机制。载荷不会立刻启动加密动作，优先在主机内部完成信息搜集，抓取本地保存的账号凭证、内网网段信息，为横向移动做好准备。
技术迭代的另一处重点，就是静默潜伏能力的强化。载荷进驻终端之后，不会产生弹窗、高频率报错等明显信号，后台启动计划任务、修改注册表项实现持久驻留。它会主动检索系统内的卷影副本、本地增量备份，提前清除这些原生恢复渠道。等完成内网测绘、拿到多台设备登录凭据之后，才会启动批量加密，给业务文件追加.weax后缀。
和很多一次性执行加密的毒株不一样，.weax新变种把攻击拆分成多个阶段，从投递、潜伏、信息窃取、内网漫游到最后加密，每一步都可以单独暂停。这种分段式攻击逻辑，极大拉长了潜伏周期，很多企业在邮件附件被打开的数天之后，才发现内网大量文件异常，留给处置的窗口期被大幅压缩。
钓鱼邮件附件：小微企业最容易失守的第一道关口
商贸公司、加工厂的采购、销售岗位，每天都会收到大量外部往来邮件，这正是攻击者重点瞄准的场景。攻击者伪造合作供应商、客户的发件名称，邮件正文措辞贴合业务沟通语境，附带的压缩包命名为“报价明细.zip”“项目对账表.rar”，降低接收人员警惕性。
在一处典型现场案例中，一家小型五金加工厂的采购人员收到邮件，附件压缩包内伪装成Excel文档。工作人员没有核验发件人真实身份，直接解压并双击打开文件，恶意载荷随即在采购电脑上执行。这台主机加入公司内网，开放共享目录对接财务、仓库终端。载荷进驻之后，自动读取本机存储的共享账号，短时间内遍历内网所有可访问的共享文件夹、NAS存储。等到行政人员发现财务台账文件无法打开，整个内网业务资料已经被批量改写。
很多兼职网管将安全防护的重心放在服务器上，员工办公终端几乎没有管控。业务人员没有接受邮件风险培训，无法识别伪造的发件地址，也不清楚压缩包内伪装文件的风险。攻击者恰恰抓住小微企业重业务、轻邮件安全的特点，利用一封邮件附件，撬开内网防护的第一道大门。
这里需要留意实操层面的细节，这类钓鱼附件不一定带有宏文档，新变种更多依托压缩包内嵌可执行脚本。传统只拦截宏文档的防护策略，无法识别这类新型载体。很多小企业部署的基础安全工具，只能拦截特征库内已知样本，面对经过混淆处理的.weax载荷，拦截效果大打折扣。
当您陷入数据被勒索病毒加密的困扰，我们的技术服务号（data788）将成为您的紧急救援团队。与我们的专家团队交流，获取专业的数据恢复建议或恢复方案。
从单点终端到内网全面沦陷，横向扩散完整链路剖析
钓鱼附件触发，仅仅是攻击的起始环节。载荷在单机落地之后，整套内网渗透流程会自动推进。第一步是主机信息搜集，枚举本机账号、缓存凭据、内网IP段、网络共享列表，收集到的信息回传给攻击者控制端。
拿到凭据之后，程序会在内网自动扫描存活主机，尝试复用抓取到的账号密码登录其他终端。小微企业内网普遍存在账号复用问题，多台电脑使用同一套账号密码，一台主机被攻破，等于把内网大半设备的访问权限向外敞开。一旦成功登录新终端，恶意程序会再次投放载荷，重复潜伏、搜集凭据的流程，持续向外扩散。
共享文件夹是横向扩散的核心通道。不少工厂、商贸门店，为了方便多人协同，共享目录直接开启全员读写权限。只要一台中毒主机能够访问共享存储，.weax便会遍历目录内所有业务文件，优先锁定订单、合同、财务账套、生产图纸。内网NAS、映射网络盘，和办公主机处于同一网段，没有独立隔离，同样会被一并处理。
整个扩散过程不会同步完成，病毒分批次遍历目录。部分主机文件先出现异常，其余设备暂时保持正常状态，这种碎片化的故障现象，很容易让运维人员误判，以为只是单台电脑故障，错失切断扩散链路的时机。等到多台终端陆续出现.weax后缀文件，内网核心业务数据已经大范围受损。
事故复盘：小微企业在防御链路里暴露的共性短板
复盘多起由钓鱼附件引发的.weax感染事件，能够看到大量共性缺陷，并非单一技术层面的漏洞，而是管理习惯叠加配置缺陷共同造成。
首当其冲的是邮件风险识别能力不足。企业缺少邮件过滤机制，外部邮件直接投递至员工收件箱，没有对压缩包附件、陌生发件人做基础拦截。员工没有常态化安全提醒，仅凭邮件标题、发件人名判断真伪，这就给钓鱼附件创造落地机会。
内网隔离机制缺失是第二大短板。办公终端、财务主机、NAS存储全部放在同一局域网，没有划分VLAN做访问隔离。一旦业务岗电脑中招，病毒可以毫无阻碍地在内网横向移动。很多兼职网管为了简化运维，直接放开共享读写权限，完全放弃最小权限原则。
备份体系设计存在致命缺陷。大量小微企业依靠内网NAS同步备份业务文件，这类存储和主机处于同一内网，病毒扩散时，备份文件会同步被处理，无法作为灾后恢复资源。很多企业即便搭建离线备份，也长期不校验备份文件有效性，等到事故发生，才发现归档文件已经损坏。
还有一处容易忽略的问题，终端防护配置简化。很多员工电脑安全软件长期关闭，或者只保留默认基础设置，无法拦截经过混淆的内存型载荷。运维人员很少定期更新终端防护策略，威胁特征库长期不更新，面对迭代后的.weax变种，防护形同虚设。
分层落地防护手段，阻断钓鱼附件触发的内网入侵
针对.weax依托钓鱼附件突破内网的攻击模式，防护需要分层落地，兼顾邮件入口、终端管控、内网隔离与备份兜底。
邮件层面可以部署基础过滤策略，拦截陌生发件人携带的高风险压缩包，对带有可执行脚本的附件做阻断。建立简单核验流程，收到业务类附件，必须通过电话、企业微信二次确认对方身份，不要直接解压打开外部邮件压缩包。
内网架构层面，对不同岗位终端做访问隔离。财务、存储服务器单独划分网段，普通业务终端默认无法直接访问核心存储。收紧共享文件夹权限，普通员工账号仅配置只读权限，非业务必需的共享目录直接关闭。账号策略上禁止多设备共用同一组密码，定期更新口令，降低凭据复用带来的扩散风险。
终端侧做好基础加固，强制开启终端防护程序，保持特征库持续更新，限制员工随意执行外部下载的脚本与程序。可以利用例会简短开展邮件风险培训，教会业务人员识别伪造邮件、可疑压缩包，从源头减少钓鱼附件被打开的概率。
兜底方案依旧是物理隔离的离线备份。核心业务资料定期复制到外接存储介质，同步完成之后，将介质拔出脱离内网。每次归档后抽检部分文件，确认文件能够正常读取，避免备份失效。
现场应急处置要点，发现.weax感染后的操作准则
一旦发现文件出现.weax后缀，首要动作是物理断开中毒主机网络，拔掉网线、关闭无线，切断它访问内网共享存储的通路。不要重启主机、不要全盘查杀，这类操作会抹除内存线索与磁盘底层碎片，压缩后续评估空间。
同步排查内网其余终端、NAS存储，检索目录内是否出现同类标记文件，判断扩散范围。排查过程中，不随意在多台设备拷贝加密文件，避免威胁二次传播。确认内网扩散终止之后，依托完好的离线备份，完成业务资料恢复。恢复业务前，需要完成内网全面排查，清除所有驻留的恶意进程，防止恢复文件再次被改写。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.weax勒索病毒，.wex勒索病毒，.xor勒索病毒，.Nilson勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，Devicdata-X-XXXXXX勒索，病毒.qewe勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.qewe勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.piz勒索病毒，.farfor勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
