.ths 勒索样本深度分析：低特征隐蔽加密，绕过终端防护思路拆解
- 客户名称：国内某公司
- 售前服务顾问：陈顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
工作室组网最普遍的做法，就是一台路由器下直接接入所有工位电脑、NAS存储、打印服务器，没有任何VLAN划分，所有设备处于同一个广播域。在这种结构之下，一旦一台终端被植入.ths样本，内网扫描模块可以快速探测网段内所有存活主机，尝试SMB连接、读取缓存凭证。 很多人会有一个误区：只要不主动访问别人的电脑，病毒就跨不过去。实际的机制是，系统会自动留存曾经访问共享时的账号凭据，凭据保存在本机内存与凭证管理器中，病毒拿到之后不需要再次爆破，直接复用身份访问其他主机共享目录。 实操里有一个高频场景：设计工作室统一搭建一个项目共享盘，所有员工账号使用同一套账号密码。任意一台主机被攻破，这套凭据就会被导出，半小时之内，全部挂载该共享的设备都会被标记为加密目标。 这个漏洞隐蔽性极强，平时协作传文件顺畅，不会出现任何异常，只有病毒横向移动的时候，才会暴露危害。很多工作室直到多台电脑文件同时追加.ths后缀，才意识到内网完全没有边界。
.ths 勒索样本深度分析：低特征隐蔽加密，绕过终端防护思路拆解
案例简介：
工作室组网最普遍的做法，就是一台路由器下直接接入所有工位电脑、NAS存储、打印服务器，没有任何VLAN划分，所有设备处于同一个广播域。在这种结构之下，一旦一台终端被植入.ths样本，内网扫描模块可以快速探测网段内所有存活主机，尝试SMB连接、读取缓存凭证。 很多人会有一个误区：只要不主动访问别人的电脑，病毒就跨不过去。实际的机制是，系统会自动留存曾经访问共享时的账号凭据，凭据保存在本机内存与凭证管理器中，病毒拿到之后不需要再次爆破，直接复用身份访问其他主机共享目录。 实操里有一个高频场景：设计工作室统一搭建一个项目共享盘，所有员工账号使用同一套账号密码。任意一台主机被攻破，这套凭据就会被导出，半小时之内，全部挂载该共享的设备都会被标记为加密目标。 这个漏洞隐蔽性极强，平时协作传文件顺畅，不会出现任何异常，只有病毒横向移动的时候，才会暴露危害。很多工作室直到多台电脑文件同时追加.ths后缀，才意识到内网完全没有边界。
序言
绝大部分小型工作室的运维模式，一直带着一种轻量化的惯性。设备不多、人员固定，管理者默认风险低，不会投入精力做内网隔离与权限管控。数据的重要性不容小觑，您可添加我们的技术服务号（data388），我们将立即响应您的求助，提供针对性的技术支持。不少设计、图文、加工类工作室，五六台甚至十几台电脑放在同一个局域网里，共享盘互通、账号复用、系统长期不维护，这些细节上的疏漏叠加在一起，就给.ths这类勒索变种创造了批量铺开的条件。 单点中毒最后演变成整批设备集体沦陷，很少是病毒本身具备极强的突破能力，更多是内网里多处不起眼的漏洞同时存在。91数据恢复专家从一线运维踩坑视角出发，梳理工作室环境里最容易被忽略的安全盲区，拆解批量感染的底层成因，配套可落地的自查、止损、加固操作，适配兼职网管、小店运维日常落地使用。
一、最容易被低估的漏洞：同网段无隔离，设备全部“打通”
工作室组网最普遍的做法，就是一台路由器下直接接入所有工位电脑、NAS存储、打印服务器，没有任何VLAN划分，所有设备处于同一个广播域。在这种结构之下，一旦一台终端被植入.ths样本，内网扫描模块可以快速探测网段内所有存活主机，尝试SMB连接、读取缓存凭证。 很多人会有一个误区：只要不主动访问别人的电脑，病毒就跨不过去。实际的机制是，系统会自动留存曾经访问共享时的账号凭据，凭据保存在本机内存与凭证管理器中，病毒拿到之后不需要再次爆破，直接复用身份访问其他主机共享目录。 实操里有一个高频场景：设计工作室统一搭建一个项目共享盘，所有员工账号使用同一套账号密码。任意一台主机被攻破，这套凭据就会被导出，半小时之内，全部挂载该共享的设备都会被标记为加密目标。 这个漏洞隐蔽性极强，平时协作传文件顺畅，不会出现任何异常，只有病毒横向移动的时候，才会暴露危害。很多工作室直到多台电脑文件同时追加.ths后缀，才意识到内网完全没有边界。
二、账号体系漏洞：全工作室共用管理员权限，弱口令泛滥
工作室为了简化运维，常常出现账号一刀切的情况。所有电脑设置相同的管理员账号，密码简单，甚至直接写在桌面记事本上，方便所有人登录操作。部分管理者觉得，内部都是熟人，不存在内部风险，安全校验可以省略。 .ths在拿到第一台主机权限之后，首要动作不是加密，而是导出本机凭证列表，遍历内网设备尝试账号复用。当全网账号密码一致时，横向移动几乎没有阻碍。和企业环境不同，工作室缺少账号审计、登录失败锁定机制，没有日志留存，就算出现异常登录，也很难第一时间发现。 还有一个容易忽略的细节：普通员工日常直接使用管理员账号登录系统办公，而不是普通受限账号。一旦恶意程序执行，天然拿到最高权限，可以修改注册表、新增计划任务、遍历全部磁盘目录。如果使用标准用户账号登录，即便样本落地，很多持久化动作会被系统拦截，破坏范围会被大幅压缩。 运维实操建议：给每一台设备单独设置管理员密码，禁止跨设备复用；员工日常使用标准权限账号，仅在安装软件、修改系统配置时临时使用管理员身份。
如果您正在经历勒索病毒的困境，欢迎联系我们的vx技术服务号（data388），我们愿意与您分享我们的专业知识和经验。
三、共享权限漏洞：默认全开读写，缺少访问范围约束
共享文件夹是工作室协作的刚需，图纸、源文件、项目素材集中存放，方便多人调取。但绝大多数共享设置，直接勾选“所有人均可读写”，不做目录细分、不做权限收缩。 很多运维人员只设置共享文件夹一级权限，子目录没有二次管控，新人、外包人员也能进入存放历史项目、结算单据的目录。.ths扫描到这类开放共享路径，会优先遍历里面的高价值文档。 还有一类踩坑点：移动硬盘接入主机之后开启共享，临时用完忘记关闭。这块硬盘会变成内网的传播跳板，病毒写入硬盘文件之后，硬盘再插到其他工位电脑，直接完成二次投放。 巡检的时候可以重点核对：共享目录是否区分只读、读写权限；外包临时协作的共享是否设置过期关闭；NAS里面的共享是否开启匿名访问。匿名共享是批量感染里排名靠前的入口，不需要账号验证，病毒可以直接写入文件。
四、终端维护漏洞：老旧系统扎堆，补丁长期搁置
工作室里面经常保留一部分老电脑，专门用来跑旧版设计软件、加工插件。这些主机停留在停止支持的系统版本，不再接收官方安全更新，大量公开漏洞没有修复。 很多运维判断标准是“软件能用就不升级系统”，忽略老旧终端在内网里的连带风险。一台未打补丁的主机，不仅自身容易被入侵，还会成为整个内网的突破口。.ths配套的扫描工具会优先探测这类终端，利用已知漏洞直接执行代码，绕过账号校验完成植入。 这类老设备还有一个特点，安全防护软件常年关闭或者过期，员工觉得弹窗干扰软件运行，直接退出防护进程。没有实时监测，病毒潜伏、扫描内网的全程不会触发告警，等到加密启动，已经来不及拦截。 实操层面不用一刀切淘汰老机器，更稳妥的方案是物理隔离或者单独划分隔离网段，禁止老旧终端访问核心项目共享盘，只允许访问指定独立目录。
五、入口管控漏洞：软件来源无审核，外来文件无沙箱检测
工作室的素材、插件、行业工具来源繁杂，员工习惯在第三方站点下载破解版、精简版工具包，压缩包内捆绑恶意样本，是.ths进入内网的经典入口。 和大企业不同，工作室没有统一的软件分发平台，每个人自行找资源下载，下载完成直接在业务主机解压运行。没有隔离测试流程，没有虚拟机沙箱，恶意程序落地之后直接接入内网环境。 另外一个高频入口，是客户发来的打包素材、对接供应商发来的压缩包。很多人默认合作方发来的文件是安全的，直接在本机解压，不会先放到隔离环境校验。攻击者会伪装成项目对接资料，用图片、图纸命名包装恶意程序。 这个漏洞很难依靠制度完全杜绝，需要配套简单流程：所有外来压缩包，优先在一台独立测试机解压校验，确认无异常之后，再转发到项目共享盘。
六、批量中毒之后的典型误操作，放大事故损失
当多台设备陆续出现.ths后缀文件，慌乱之下的操作，会进一步扩大受灾范围，也是工作室场景里非常普遍的踩坑点。 第一种错误：批量重启所有电脑。部分病毒的持久化模块会在开机阶段继续扫描内网，重启不会清除内存中的扩散进程，反而给病毒重新加载、继续横向移动的机会，同时清除内存里的进程痕迹，丢失溯源线索。 第二种错误：在多台主机上同时运行全盘查杀。杀毒工具清除恶意程序的同时，会删掉进程日志、连接记录，后续无法定位最先沦陷的源头主机，无法判断还有多少潜伏节点没有爆发。 第三种错误：继续打开共享盘调取文件。只要还有一台中毒主机在线，共享通道保持连通，每一次访问共享，都等于给病毒提供新的遍历机会。 标准止损顺序，优先隔离源头主机，再关闭全网共享服务，断开NAS、文件服务器的内网映射；留存目录截图、文件修改时间、系统日志之后，再开展清理工作。已经加密的文件，不要随意使用网络上流传的简易修复工具，避免二次损坏。
七、适配工作室轻量化的分层加固方案，低成本落地
针对工作室设备数量不多、缺少专职安全人员的现状，防护方案不需要昂贵硬件，优先做轻量化管控。 第一，内网边界收敛。条件允许就划分简易VLAN，把核心存储、员工工位、老旧设备分开；没有交换机支持VLAN，至少做到核心NAS只对指定IP开放访问，拒绝全网无差别连通。 第二，账号权限最小化。一人一号，不同岗位权限分开，财务结算目录、历史项目目录单独授权，外包人员只给到当期项目只读权限。定期批量修改所有管理员密码，杜绝密码复用。 第三，共享目录常态化巡检。每周抽查共享权限，清理闲置共享、匿名共享，临时协作共享设置到期自动关闭，关闭不需要的SMB访问端口。 第四，建立独立的测试节点。单独拿出一台低配电脑作为隔离机，专门解压外来压缩包、测试陌生软件，这台机器禁止挂载项目共享盘。 第五，离线备份独立存放。备份介质不长期挂载在内网，定时同步完成之后直接断开连接，并且每次备份之后随机打开几份文件校验，避免备份跟着主数据一起被加密。
结语
.ths在工作室环境造成批量中毒，本质上不是单一漏洞引发的事故，而是内网安全层层失守叠加出来的结果。无隔离的局域网、通用账号、全开的共享权限、老旧无补丁终端、无管控的软件下载，单独看每一项都好像不会直接引发灾难，但组合在一起，就形成一条完整畅通的攻击链路。 工作室运维的难点，在于安全建设不能影响协作效率，很多防护方案因为操作繁琐被员工绕开。真正可行的思路，是守住横向移动的门槛，缩小病毒扩散半径，而不是寄希望于病毒不会选中自己。做好网段隔离、权限收缩、外来文件检测、离线备份这几件基础工作，就算单点终端不慎被突破，也可以把影响锁在单台设备之内，避免整工作室的项目资料一并受损。运维的价值，很多时候不是事后应急，而是提前堵上这些看不见、容易被忽略的内网漏洞。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.weax勒索病毒，.wex勒索病毒，.xor勒索病毒，.Nilson勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，Devicdata-X-XXXXXX勒索，病毒.qewe勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.qewe勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.piz勒索病毒，.farfor勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
