服务器上的文件突然变成一串乱码后缀，桌面出现一个 txt 勒索信，业务系统打不开，备份服务器也连不上了——这是我们在应急处置现场最常遇到的场景。从发现异常到数据被完全加密，中位时间往往只有十几个小时，而单位内部真正做出正确处置决策的时间，可能比这更短。

我公司提供勒索病毒的全流程处置服务，覆盖从"拔网线的那一刻"到"业务重新跑起来"的每一个环节，也包括在与勒索方沟通、以及依法依规确需支付赎金时的专业支持与合规把关。

24 小时应急电话：0351-5255612、19135318056

一、勒索病毒三十七年：从软盘到勒索即服务

理解勒索病毒的演进，能帮助我们在事发时判断"对手是谁、下一步会做什么"。这条时间线大致可以分为五个阶段。

1.1 萌芽期（1989—2012）：从生物学会议到比特币

• 1989 年，首个公认的勒索软件 AIDS Trojan（又称 PC Cyborg）出现。它通过软盘分发给一场国际艾滋病会议的参会者，加密硬盘文件名并索要 189 美元，要求邮寄到巴拿马的一个信箱。它的加密方式极其粗糙，很快被逆向破解。
• 2005—2012 年，加密型勒索开始规模化：GPCode 使用 RSA 加密并配合邮件传播；Archiveus 采用多层加密；2012 年前后出现的 Reveton（俗称"警察锁屏"）则用伪造的执法机构警告页面恐吓用户，要求以预付卡缴费"解锁"。这一阶段的特点是支付方式原始、单笔金额低、以个人用户为主。

1.2 产业化期（2013—2017）：比特币让勒索真正"跑通"

• 2013 年，CryptoLocker 出现，首次大规模使用 RSA-2048 加密配合比特币收款，单笔赎金约 300 美元，据报道在数月内获利数百万美元。它确立了此后十年的标准模式：强加密 + 匿名支付 + 限时涨价。
• 2016 年，Locky 通过钓鱼邮件附件大规模传播，一度成为全球最活跃的勒索家族。
• 2017 年 5 月 12 日，WannaCry 利用"永恒之蓝"（MS17-010）漏洞自我传播，波及 150 多个国家的 20 余万台设备，英国 NHS 多家医院被迫停诊。它的"蠕虫化"证明了勒索可以不依赖用户点击。
• 2017 年 6 月，NotPetya 伪装成乌克兰会计软件 M.E.Doc 的更新包，经供应链分发，造成全球约 100 亿美元损失。它本质上更接近破坏性攻击而非求财——这也提醒我们，"勒索"与"破坏"的边界并不总是清晰。

1.3 双重勒索期（2019—2021）：从"加密你的数据"到"泄露你的数据"

• 2019 年，Maze 团伙首创双重勒索：先窃取数据，再加密系统，若拒付则以公开数据相威胁。这一模式彻底改变了博弈结构——即使有完好的备份，受害方依然被拿捏。
• 2021 年 5 月，美国科洛尼尔管道（Colonial Pipeline）遭 DarkSide 攻击后停运，支付约 440 万美元赎金，引发美国进入国家紧急状态；同年 JBS 支付约 1100 万美元；Kaseya VSA 事件通过供应链影响了上千家企业。
• 这一阶段，勒索从"技术犯罪"演变为有分工的产业：RaaS（勒索即服务）模式下，开发者出售勒索程序、附属团伙负责入侵，收益分成。

1.4 碎片化期（2022—2025）：执法打击与"品牌轮换"

• 2022 年 Conti 内部资料泄露后解散，团队分裂为多个新品牌。
• 2023 年 Cl0p 利用 MOVEit 漏洞实施大规模数据窃取，受害者超过两千家组织，几乎不加密、纯靠数据泄露施压——"纯数据勒索"成为独立路径。
• 2024 年 2 月，多国联合行动 Operation Cronos 重创 LockBit；同年 ALPHV/BlackCat 疑似"退出骗局"，附属团伙在拿到赎金后消失。
• 2025 年，Qilin 成为最活跃团伙（公开统计约 1058 起），LockBit 品牌一度沉寂。执法打击的效果是真实的，但结果是品牌轮换而非总量下降。

1.5 2026 年：新王登基，市场更加分散

根据 ransomware.live 截至 2026 年 10 月 25 日的公开统计，勒索生态呈现"头部换血、长尾爆炸"的格局：

几个关键变化值得注意：

• The Gentlemen 从 2025 年 9 月才首次出现，一年内跃居第二，2026 年 8 月单月公开受害者一度达到 162 起。
• LockBit 以 LockBit 5.0 回归前十，说明品牌打击并不能消灭能力，只会加速重组。
• 长尾极其庞大：2026 年 1—9 月共有 161 个团伙在泄露站点发布过受害者，其中 84 个是当年首次出现，46 个团伙的受害者不超过 5 起。基于团伙名单的封堵策略正在快速失效。
• 集中度在下降：前五名团伙合计占比约 37.3%，低于上一周期的 42.1%。Trellix 在 2026 年 4—9 月记录到 5505 条受害者帖子、124 个团伙发帖（55 个首次），8 月单月 1214 条、72 个团伙发帖，均创其统计新高。

1.6 技术手法上的四个变化

1. 入口高度集中在网络边界设备。 2026 年的主要入口是 VPN、防火墙等边缘设备漏洞，其次是有效账号被盗用，钓鱼的比例在下降。典型例子是 Palo Alto GlobalProtect 的认证绕过漏洞 CVE-2026-0257（CVSS 7.8），披露约五个月后，Qilin、Settra 等多个团伙已将其作为标准入口；由于攻击流量来自合法的 VPN 会话，与正常远程办公几乎无法区分。SonicWall SMA 1000 的漏洞链（CVE-2026-15409 与 CVE-2026-15410）也被 INC Ransom 相关团伙武器化，从边界直接打到 root。
2. 间歇加密（Intermittent Encryption）。 不再加密整个文件，而是每 16KB 只加密约 16 字节。文件照样打不开，但加密流量骤降，传统基于"大量文件被改写"的检测规则容易漏报。
3. Rust 编写的加密器。 公开统计显示，前十大加密器中已有五个是 Rust 二进制，逆向分析与解密工具开发都更困难。
4. 虚拟化平台成为重点目标。 攻击 ESXi 与 vCenter，一次性加密整个数据中心，破坏力远大于逐台服务器下手。

1.7 国内态势：Weaxor 持续活跃

国家计算机病毒应急处理中心与计算机病毒防治技术国家工程实验室依托国家计算机病毒协同分析平台（virus.cverc.org.cn），已多次发布关于 "Weaxor" 勒索病毒持续活跃的预警。其特点值得国内单位重点关注：

• 具有多个版本，同时覆盖 Windows 与 Linux，按目标操作系统投送对应程序；
• 主要针对企业数据库、OA 办公系统及其他业务系统；
• 无主动传播能力，由攻击者入侵后以自动或手动方式向内网投送，主要入口是弱口令与系统/软件漏洞，再通过 PowerShell 脚本、远程控制工具投放；
• 加密采用三层结构：椭圆曲线加密 AES 密钥，AES 加密 ChaCha20 密钥，ChaCha20 加密文件；
• 加密后文件名后缀常见 .rox、.weax、.wxx、.wxr、.weaxor、.roxaew、.wax；
• Windows 版本还会窃取本地保存的系统与域登录凭据，攻击者可据此在内网继续渗透。

官方风险提示明确指出：在没有解密密钥的条件下，被该病毒加密的数据暂时没有可靠的恢复方法。

1.8 一个值得记住的近期案例

2026 年 10 月 27 日，美国新墨西哥大学医疗健康科学中心遭新型团伙 BYOD 攻击，核心系统被迫暂停，救护车改道、门诊手术取消、医学院停课。10 月 29 日系统全部恢复，未支付赎金。事后该团伙致歉，称"误攻击医疗设施"，免费提供解密密钥，但仍以留存的病人与员工数据相要挟，索要 2500 美元"销毁费"。

这个案例说明三件事：一是恢复能力（备份与重建）比谈判技巧更决定结局；二是"免费给密钥"并不等于威胁结束，数据仍在对方手里；三是官方与专业机构的建议始终是不要私下与攻击者接触，保留证据并报案。

二、我们的处置流程：七个阶段

勒索事件的处置有一条铁律：顺序错了，代价可能是数倍。 我们按下述七个阶段推进，每个阶段都有明确的交付物和决策点。

阶段一：隔离止损（0—1 小时）

• 先断网，不要关机，不要重装。 关机可能丢失内存中的密钥材料与进程痕迹；重装会毁掉唯一的取证依据。
• 拔掉网线、禁用无线、隔离网段；优先隔离备份系统，防止备份被一并加密。
• 保留现场：给勒索信、加密文件后缀、弹窗界面拍照；记录首次发现时间、发现人、异常现象。
• 立即排查同一网段的其他主机与域控、虚拟化平台，判断是否已横向扩散。

交付物：现场取证记录、隔离范围清单。

阶段二：样本识别（1—4 小时）

• 提取勒索信全文、加密文件样本、可疑进程与计划任务，计算哈希。
• 通过公开勒索家族识别库比对，并提交至国家计算机病毒协同分析平台等渠道分析。
• 明确三件事：家族名称、是否有公开解密工具、是否为已知的"只删不改"或"可逆"变种。

交付物：样本分析结论（家族归属、加密算法、有无解密可能）。

阶段三：范围与损失摸底（4—12 小时）

这是最容易被低估、却决定后续所有决策的一步：

• 哪些系统被加密、哪些只是被删或被破坏？
• 备份到底还能不能用？（很多单位在此时才发现备份与生产同域、同一套凭据、同一张网）
• 是否有数据被窃取？窃取量与内容范围如何？（这直接决定是否面临双重勒索）
• 业务影响排序：哪些系统停摆会立即影响对外服务、民生保障或安全生产？

交付物：受影响资产清单、备份可用性评估、业务影响分级。

阶段四：可解密性评估（12—24 小时）

• 比对公开解密工具库（多家机构提供免费的解密工具集合）；
• 评估是否存在已知密钥泄露、加密实现缺陷（如随机数复用、密钥硬编码）；
• 对确有解密能力的，先在副本上验证，绝不在原始数据上试；
• 若确认无可靠解密途径，进入阶段五。

交付物：解密可行性结论与验证报告。我们不会给出"一定能解开"的承诺。

阶段五：沟通与谈判准备（24—72 小时）

如果决定接触（这一步必须由单位负责人决策，并同步报案），专业介入的价值在于控制信息暴露与节奏：

• 统一出口：指定唯一沟通人与渠道，避免多线接触被各个击破；
• 不透露底牌：不主动说明备份状况、不暴露业务紧急程度、不透露保险与预算；
• 先验证再谈钱：要求对方提供数据真实性证明（如约定格式的样本文件）与解密能力证明（对一至两个非关键文件试解密）；
• 识别"惯犯"与"一次性团伙"：部分团伙收钱后不提供可用密钥，或提供后再次勒索；
• 全程留痕：所有往来内容、时间、金额、钱包地址完整记录，作为后续报案与合规审查的证据。

交付物：谈判策略、沟通记录、对方身份与可信度评估。

阶段六：赎金支付（仅在依法依规确需支付时）

这一环节我们不回避，但必须把边界说清楚。支付赎金不是"买服务"，而是一个需要承担法律与财务后果的决策。 我们的角色是提供合规审查与执行支持，而不是替客户拍板。

支付前必须完成的五项审查：

1. 主体资格审查：关键信息基础设施运营者、涉密单位、政务与公共服务机构，依《网络安全法》《数据安全法》《关键信息基础设施安全保护条例》等规定，原则上不应向攻击者支付；确有必要时须报请主管部门。
2. 报案前置：向属地公安机关网络安全保卫部门报案并取得受案记录，是后续几乎所有合规路径的前提。我们不支持、也不参与任何隐瞒不报的处置。
3. 制裁与反洗钱筛查：核对收款地址、关联实体是否涉及国际制裁名单；通过正规渠道完成外汇与反洗钱合规审查，避免因支付行为本身触发更大的法律风险。
4. 支付必要性论证：将"支付成本"与"不支付的恢复成本"（数据重建、业务停摆、声誉损失、合规处罚）做量化对比，形成书面决策依据。
5. 保险与预算确认：确认网络安全保险是否覆盖勒索赎金，理赔需要哪些证据链（多数保单要求事先报案与专业取证）。

支付执行环节：

• 币种与链上路径确认（多数团伙只接受加密货币，需评估兑换与转账的合规通道）；
• 分步支付：坚持"先验证解密能力、再支付、后确认全量解密"的顺序，拒绝无条件的全额预付；
• 保留完整支付凭证：钱包地址、交易哈希、时间戳、汇率记录；
• 支付后立即验证解密，并全量轮换所有凭据——攻击者常在系统中留有后门，付款不等于清场。

我们不承诺的三件事： 不承诺支付后一定能完整恢复；不承诺对方会销毁窃取的数据；不代为隐瞒事件、不出具任何虚假的处置结论。

阶段七：重建、加固与复盘（第 2 周起）

• 重建而非"还原"：对被入侵的系统，从干净镜像重装、重新配置，避免把后门一起恢复回来；
• 凭据全量轮换：域账号、服务账号、数据库、API Key、证书、VPN 凭据全部更换（Weaxor 会窃取域凭据，这一步不能省）；
• 封堵入口：本次入侵的入口必须定位并修复——2026 年的主要入口是边界设备漏洞与弱口令，两件事都不难做，难的是有人做；
• 备份改造：离线 + 异地 + 不可变（Immutable）三件套，且备份系统使用独立凭据、独立网段；
• 检测补齐：针对间歇加密、Rust 加密器、ESXi 批量加密补充行为检测规则；
• 复盘与演练：形成事件报告，半年内完成一次不打招呼的桌面推演。

三、事前能做、且成本最低的五件事

1. 把边界设备当核心资产管。 VPN、防火墙、远程接入网关的补丁要在 72 小时内落地，管理界面绝不暴露在公网。
2. 强制多因素认证。 覆盖 VPN、远程桌面、邮箱、运维跳板机与所有管理员账号。
3. 验证备份真的能恢复。 不是"有备份"，而是"演练过恢复"。这是唯一能让你在谈判桌上不被拿捏的底牌。
4. 准备一页纸的应急卡。 谁决策、打给谁、第一步做什么、哪些事绝对不能做（关机、重装、自行联系攻击者）。
5. 做一次暴露面梳理。 把"台账上没有但互联网上能访问到的系统"找出来——勒索事件里出问题的，往往就是这几台。

四、服务范围与响应方式

我公司提供的勒索病毒相关服务包括：

• 应急响应：7×24 小时接报，远程指导止损，必要时现场处置；
• 样本分析与家族识别：判定加密算法、评估解密可行性；
• 数据恢复与系统重建：备份恢复、干净重建、业务分批回归；
• 谈判支持与赎金支付合规审查：策略制定、沟通代执行、五项合规审查、支付执行留痕；
• 事后加固与复盘：入口封堵、凭据轮换、备份改造、检测规则补齐；
• 常态化服务：暴露面梳理、边界设备加固、勒索演练、员工意识培训。

24 小时应急电话：0351-5255612、19135318056
官方网站：www.sxslz.com（我公司对外邮箱后缀均为 @sxslz.com）
投诉与举报渠道：ts.sxslz.com

发现被勒索后的第一件事，不是付钱，也不是重装，而是打电话并把网断掉。 越早介入，可选项越多。

参考资料

1. 国家计算机病毒应急处理中心、计算机病毒防治技术国家工程实验室关于"Weaxor"勒索病毒持续活跃的预警报告（国家计算机病毒协同分析平台 virus.cverc.org.cn）
2. ransomware.live 2025—2026 年公开受害者统计；The Uptime Report《Ransomware Groups 2026》
3. Trellix《The Cyber Threat Report》2026 年 11 月版（2026 年 4—9 月泄露站点统计）
4. CYFIRMA《Tracking Ransomware: Aug 2026》；Insomnia 勒索软件季度报告
5. Palo Alto Networks 与 ReliaQuest 关于 CVE-2026-0257 被勒索团伙利用的通报，2026 年 10 月
6. 美国新墨西哥大学医疗健康科学中心勒索事件公开报道，2026 年 10 月 27—29 日
7. CISA #StopRansomware 系列公告（Akira AA24-109A、Cl0p AA23-158A、Play AA23-352A 等）；Europol 与 ENISA 公开报告
8. 《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》

本文所引历史事件与统计数据均来自公开资料，具体处置方案需结合现场情况确定。文中对赎金支付的相关表述为合规指引，不构成法律意见。