突发.ths 加密袭击！不少企业服务器中招，这些信号要留意
- 客户名称：国内某公司
- 售前服务顾问：陈顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
复盘的一起.ths入侵案例中，服务器RDP端口修改为62345，管理员账号密码和系统用户名一致，仅仅上线三天就被扫描器捕获，持续进行身份尝试，不到半小时就完成登录。攻击者进入系统之后，首先关闭系统自带防护模块，清除安全日志，随后释放.ths程序，优先遍历D盘、E盘存放的订单表格、合同扫描件，再读取局域网内可访问的共享目录。
突发.ths 加密袭击！不少企业服务器中招，这些信号要留意
案例简介：
复盘的一起.ths入侵案例中，服务器RDP端口修改为62345，管理员账号密码和系统用户名一致，仅仅上线三天就被扫描器捕获，持续进行身份尝试，不到半小时就完成登录。攻击者进入系统之后，首先关闭系统自带防护模块，清除安全日志，随后释放.ths程序，优先遍历D盘、E盘存放的订单表格、合同扫描件，再读取局域网内可访问的共享目录。
序言
很多小微企业的运维习惯里，远程桌面是日常运维、异地查账、外勤调取文件最省事的工具。不少负责人或者兼职网管觉得，只是把3389端口映射出去、设置一个账号密码，就能随时连上服务器和办公主机，风险感知长期处于松懈状态。在勒索病毒导致的数据加密挑战中，我们的技术服务号（data788）随时待命，用我们的技术专对抗长为您制定有效的数据恢复策略。从多起.ths家族攻击事件的现场复盘结果来看，大量入侵起点都不是复杂的零日漏洞，而是远程桌面对外开放过程中一连串被忽略的配置缺陷。攻击者依靠自动化扫描工具在公网持续探测开放端口，一旦找到可连通的RDP服务，就会启动身份遍历、凭据抓取、会话劫持等动作，拿到权限后投递.ths载荷，顺着内网横向移动，批量处理文档、台账、图纸类业务文件。91数据恢复专家以真实事件复盘为基础，梳理运维人员最容易踩中的几类RDP相关漏洞，拆解每一处疏漏对应的攻击链路，附带可直接落地的排查、加固实操步骤。
一、认知误区：改端口号不等于隔绝入侵风险
在大量小型商贸、加工厂的运维场景中，流传着一个流传很广的简化方案：把默认3389端口修改成其他数字，就认为可以避开扫描。这是排在第一位、也是出现频率最高的安全误区。
端口修改只能过滤掉针对默认端口的批量扫描脚本，无法阻挡带全端口扫描能力的探测工具。实操中使用masscan这类工具，短时间内就能对一个公网IP段完成全端口遍历，只要RDP服务对外暴露，无论端口改成5001、8899或是其他自定义数值，都能够被快速识别标记。很多网管做完端口变更之后，不再做额外的访问限制，账号依旧使用简单组合，等于给攻击者留下了完整的攻击入口。
复盘的一起.ths入侵案例中，服务器RDP端口修改为62345，管理员账号密码和系统用户名一致，仅仅上线三天就被扫描器捕获，持续进行身份尝试，不到半小时就完成登录。攻击者进入系统之后，首先关闭系统自带防护模块，清除安全日志，随后释放.ths程序，优先遍历D盘、E盘存放的订单表格、合同扫描件，再读取局域网内可访问的共享目录。
需要明确一个基础结论：修改端口只是降低被自动化脚本批量命中的概率，不属于安全防护手段，不能作为对外开放RDP的唯一屏障。
二、第二类疏漏：开放RDP却未启用NLA网络级别身份验证
网络级别身份验证NLA是Windows自带的RDP防护机制，开启之后，客户端在建立远程会话之前就要完成身份校验，没有合法凭据的连接请求无法生成会话，能够拦截大量预身份验证类攻击和暴力探测行为。但不少老旧服务器、Windows 7终端、早期服务器系统，在开启远程桌面时默认关闭NLA，或者运维人员为了解决部分旧客户端连接报错，手动把该选项取消。
没有NLA保护的RDP服务，攻击者可以持续发送大量身份请求，系统会持续分配会话资源，不仅更容易完成账号遍历，还会出现会话堆积、日志被海量失败记录淹没的情况，等到管理员发现异常登录记录时，攻击者已经在系统内停留很久。
现场排查有简单的核验方式：右键此电脑，打开远程设置，在远程选项卡内查看“仅允许运行使用网络级别身份验证的远程桌面的计算机连接”是否勾选。如果系统版本过低不支持NLA，这台设备本身就不建议直接把RDP暴露在公网。.ths的投放团伙会专门筛选这类无NLA标记的主机作为优先目标，探测脚本里自带识别标记，优先发起批量登录尝试。
当您陷入数据被勒索病毒加密的困扰，我们的技术服务号（data788）将成为您的紧急救援团队。与我们的专家团队交流，获取专业的数据恢复建议或恢复方案。
三、第三类疏漏：多主机共用一套远程账号凭据，横向扩散无隔离
小微企业经常出现账号复用的情况：财务服务器、仓库台账主机、前台接单电脑，全部设置相同的管理员账号密码，并且全部开启远程桌面。攻击者一旦拿下其中一台主机，会直接在本地读取缓存凭据，抓取保存于系统内存、远程连接管理器里的账号信息，然后用这套凭据尝试内网其他主机的RDP服务。
这也是.ths在部分厂区、门店内网快速扩散的核心原因。攻击者不需要重新爆破每一台设备，依靠抓取到的凭据批量登录，一台沦陷之后，十几台终端接连被控制。很多兼职网管没有账号分级意识，日常操作全部使用最高权限管理员账号，一旦账号泄露，攻击者拿到的是整个内网的最高控制权，可以随意写入计划任务、修改共享权限、停止安全服务。
实操排查可以使用命令 qwinsta 查看当前远程会话，导出安全日志筛选事件ID4625、4624，统计异地、非工作时段的登录记录。同一账号在短时间内连续登录多台内网主机，是凭据横向传递非常典型的特征。很多时候管理员只看到一台主机文件后缀变成.ths，却没有意识到攻击者已经通过RDP会话，在其他多台设备预埋了驻留程序。
四、第四类疏漏：路由器端口映射粗放，没有源IP访问限制
家庭宽带、小型企业宽带搭配普通家用路由器做端口映射，是另一个高频风险点。很多网管直接配置：外部任意IP都可以访问RDP端口，没有添加访问白名单。正常情况下，异地运维人员的上线地点相对固定，固定办公宽带、管理人员手机热点IP范围可控，但不加源地址限制的映射规则，等于向全网开放登录入口。
路由器自带的防火墙功能常常被忽略，部分廉价路由设备甚至没有IP黑名单、访问控制列表功能。攻击者的扫描节点分布在各地不同网络，源源不断发起登录尝试，后台登录失败日志每分钟可以达到几十条。长期处于这种状态，弱口令被碰撞成功只是时间问题。
还有一种容易忽略的场景：宽带IP动态变化，管理员每次IP变动之后，只更新自己这边的连接地址，不会同步调整防火墙策略，甚至为了省事直接关闭路由器防火墙。一旦宽带IP刷新，原来的白名单失效，RDP端口直接裸奔在公网，这个场景在个体户、小加工厂里十分普遍，也是.ths攻击链路里非常典型的前置条件。
五、第五类疏漏：长期不审计远程登录日志，异常行为无法及时捕捉
远程桌面入侵存在潜伏期，很多主机被成功登录之后，攻击者不会立刻执行加密动作，而是先停留数小时甚至一两天，观察业务作息、文件存放路径、备份位置，确认没有实时运维人员在线之后，再执行载荷部署。
缺少日志审计习惯，是隐患持续发酵的关键。大部分小微企业不会集中收集Windows安全日志，主机本地日志要么长期不导出，要么被攻击者入侵之后手动清除。等到发现文件出现后缀变更，已经很难追溯入侵时间、登录来源IP、操作指令序列，后续溯源和损失评估都缺少依据。
一套轻量化的实操审计方案不需要昂贵设备：在每一台开启RDP的主机上，配置日志自动归档，使用wevtutil定时导出evtx日志，存放到独立只读存储；重点筛选凌晨、节假日时段的登录事件，陌生IP连续多次登录失败之后成功登录，属于高风险告警信号。很多.ths入侵事件里，登录动作都发生在深夜、周末无人值守时段。
六、RDP场景下，.ths入侵后的标准止损流程
一旦日志确认存在异常RDP登录，不能直接重启服务器或者批量修改密码，错误操作会破坏取证线索。
第一步，断开该主机的外网映射，保留内网连通，避免攻击者继续从公网接入，但不要直接断电关机，优先抓取内存镜像、导出安全日志、RDP会话记录。 第二步，隔离该主机对应的内网网段，关闭内网所有主机之间无管控的RDP访问权限，防止攻击者利用已拿到的账号横向跳转。 第三步，修改全部关联账号密码，注意不能只修改出事主机，所有复用这套凭据的服务器、工作站都需要同步更新，密码复杂度提升，取消账号记忆缓存。 第四步，检索全盘是否存在.ths相关程序、计划任务、注册表启动项，部分情况下载荷已经预埋，但还没有触发加密流程，及时清理可以阻止损失扩大。 第五步，核验离线备份，确认备份介质没有被这组账号访问过，避免备份文件同步遭到改动。
整个过程中，优先保留时间线证据，日志、登录IP、会话起止时间，都是判断攻击范围的核心依据。
七、适配小微企业的RDP安全加固方案
优先原则：非必要不对外暴露RDP。异地运维优先选择VPN、零信任访问工具，隧道连通之后，RDP仅在内网隧道内访问，不在路由器上做端口映射，从根源消除公网扫描风险。
如果业务场景确实需要远程登录，必须叠加多层限制。开启NLA身份验证，配置严格的源IP白名单，只允许指定运维线路的IP访问；关闭不需要的管理员账号，单独建立低权限运维账号，日常禁止使用最高权限账号远程登录；设置登录失败锁定策略，连续多次密码错误之后，账号自动锁定一段时间，阻断批量爆破。
定期轮换远程账号密码，禁止跨主机复用凭据；每周一次检查路由器端口映射列表，清理过期、不再使用的转发规则；老旧系统终端评估替换，无法开启NLA的设备禁止公网暴露RDP。
备份体系和远程访问权限做隔离，备份服务器、备份存储，不开放任何远程桌面服务，和业务主机之间权限隔离，就算业务服务器RDP被突破，备份数据不会被同步波及。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.weax勒索病毒，.wex勒索病毒，.xor勒索病毒，.Nilson勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，Devicdata-X-XXXXXX勒索，病毒.qewe勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.qewe勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.piz勒索病毒，.farfor勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
