weax勒索病毒来了，备份为啥没救回

一周内接到4个求救电话

2026年9月底开始，.weax后缀的勒索病毒在国内开始蔓延。10月第一周，我们接到4个企业客户的应急求助电话，其中2家有备份但恢复失败。

4个案例的基本情况：

客户类型	业务系统	是否有备份	恢复结果	停机时间
制造企业A	ERP+文件服务器	有，定时备份到NAS	备份也被加密	72小时
贸易公司B	OA+财务系统	有，离线硬盘备份	恢复成功	8小时
物流企业C	运单系统	无备份	数据丢失	重做系统
服务企业D	客户管理系统	有，快照备份	恢复成功	2小时

4家中2家备份有效、2家失效。失效原因不同，但都指向一个问题：有备份不等于备份管用。

weax的攻击路径：先杀备份再加密生产数据

分析这4个案例的攻击路径，发现weax不是上来就加密文件。它的攻击分三步：

第一步：获取入口（平均潜伏3-7天）

通过钓鱼邮件或暴露的RDP端口进入内网。某制造企业A的入口是财务部一台开了3389端口的电脑，杀毒软件过期了没更新。攻击者通过暴力破解RDP密码进入，横向移动到内网。

第二步：清除备份（关键一步）

进入内网后，攻击者先找备份系统。weax会尝试删除Windows VSS卷影副本、删除NAS上的备份目录、甚至尝试删除备份软件的数据库。制造企业A的备份在NAS上，和文件服务器在同一个域，攻击者用域管理员权限直接删了NAS上的备份目录。

第三步：加密生产数据

确认备份不可用后，才开始加密生产数据。加密完成后弹出勒索信，要求支付0.5-2个比特币（约20-80万人民币）。

这个攻击顺序说明：备份策略的设计直接决定了能不能恢复。如果备份能被攻击者删掉，等于没备份。

两种有效备份策略

从4个案例看，两种备份策略在勒索病毒面前有效：

策略1：离线备份（3-2-1原则）

贸易公司B用的是3-2-1备份策略：3份数据、2种介质、1份离线。每周把数据备份到移动硬盘，备份完拔下来放保险柜。攻击者进不了内网也删不了离线硬盘上的备份。

恢复过程：从离线硬盘恢复最近一周的数据，OA系统8小时恢复，财务数据恢复到上周状态，丢失了3天的财务凭证（手工补录）。

策略2：存储级快照（不可变快照）

服务企业D用的是深信服EDS的快照功能。EDS的快照是存储级的，不依赖操作系统和文件系统权限，即使域管理员也删不了存储级快照。而且快照是只读的、不可变的，勒索病毒无法加密或删除。

恢复过程：找到最近一次快照（4小时前），在EDS管理界面上点"恢复快照"，2小时后数据恢复到4小时前状态。停机时间2小时，数据丢失4小时。

两种策略对比：

维度	离线备份	存储级快照
恢复速度	慢（8-48小时）	快（分钟级-2小时）
数据丢失	1-7天	几小时
防勒索	✅ 完全隔离	✅ 不可变快照
成本	低（硬盘+人力）	中（需要存储设备）
运维	人工操作	自动化

最佳实践是两种结合：存储级快照做高频快速恢复（每小时一次），离线备份做低频兜底（每周一次）。这样即使快照被删（理论上不会，但防御纵深），还有离线备份兜底。

应急响应清单：中招了怎么办

如果发现中了勒索病毒，按这个顺序操作：

1. 立即断网（5分钟内）

拔掉感染机器的网线，关闭WiFi。目的是阻止病毒在内网继续扩散。不要关机——关机可能丢失内存中的解密密钥线索。

**2. 确认感染范围（30分钟内） |

检查哪些机器被加密、哪些正常。重点确认：备份服务器/备份NAS是否被加密。如果备份没被加密，先隔离保护备份。

3. 评估恢复方案（1小时内）

• 有存储级快照→直接恢复快照
• 有离线备份→从离线介质恢复
• 无备份→考虑支付赎金（不推荐，50%概率不给解密密钥）或找专业数据恢复公司

4. 恢复业务（2-48小时）

按业务优先级恢复：核心生产系统→财务系统→OA→文件服务器。恢复后先打补丁再接入网络。

5. 安全加固（恢复后）

• 修改所有密码（域管理员、数据库、应用）
• 关闭不必要的端口（3389/445/22）
• 部署EDR终端安全软件
• 恢复备份并验证备份可用

几个常见误区

误区1：装了杀毒软件就不会中勒索

weax样本分析显示，它使用了多种免杀技术，部分杀毒软件在攻击发生时未识别。杀毒软件是必要防线但不是充分防线。

误区2：备份到NAS就安全了

如果NAS和文件服务器在同一个域、同一个管理员管理，攻击者拿到域管理员权限后可以同时删生产数据和NAS备份。备份必须在不同的权限域或物理隔离。

误区3：交了赎金就能恢复数据

根据公开统计，勒索病毒支付赎金后约30-50%的情况拿不到解密工具或解密不完整。即使拿到解密工具，恢复过程可能需要数天。

误区4：快照和备份是一回事

操作系统快照（VSS）和存储级快照不同。VSS是操作系统层面的，管理员权限可以删除。存储级快照（如EDS快照）是存储控制器层面的，操作系统管理员无权操作。

写在最后

weax不会是最后一个勒索病毒。每年都有新变种出现，攻击手法也在升级。对企业来说，最核心的防护不是杀毒软件，是备份策略——而且是不可被删除的备份策略。

如果不确定现有备份策略能不能扛住勒索病毒，建议做一次模拟攻击测试：假设攻击者拿到域管理员权限，看能不能删掉备份。如果能删掉，说明备份策略需要升级。华南腾飞在存储和备份方案上有交付经验，可以提供评估和方案设计。

相关阅读：

• 超融合和分布式存储有什么区别？五个维度拆解
• 高校存储60万预算怎么花？三套方案