[点晴永久免费OA].xor勒索病毒：专猎企业数据库的"双重绑架"杀手

admin

2026年7月30日 16:4 本文热度 38

如果你的金蝶或用友服务器突然所有文件变成.xor后缀，桌面被换成黑色警告图，安全软件官网还打不开——你遇到的不是普通勒索，是当前国内最活跃的Xorist/Phobos家族变种。

"先窃密，后加密"的四步猎杀链

.xor不是单独行动。它执行的是一条精密的四阶段攻击链：

第一步：信息窃取木马潜伏。 RedLine Stealer、Raccoon Stealer等窃密木马先期植入，静默提取浏览器凭证、FTP/SSH密码、加密货币钱包私钥、会话Cookie。你的ERP管理员密码，在加密开始前就已经到了攻击者手上。

第二步：凭证复用与横向移动。

用窃到的密码登录内网其他机器——文件服务器、数据库服务器、备份系统。通过SMB协议和RDP横移，逐步控制高价值目标。Cobalt Strike Beacon提供C2通道，持续指令控制。

第三步：数据筛选与外传，加密前先"收割"。

扫描含"password"“customer”"financial"等关键词的文件，优先打包.xlsx、.pdf、.sql、.dwg、.psd。通过HTTPS和云存储API伪装外传，作为二次勒索的筹码。

第四步：加密锁定+双重勒索。

AES-256加密文件内容，RSA-2048加密AES密钥——私钥在攻击者手上，本地无法解密。勒索信给出48-72小时期限，不付钱就公布窃取的数据到暗网。

精准打击国内企业数据库

.xor的攻击目标非常明确：Windows服务器上运行国产ERP和财务软件的数据库。金蝶、用友、管家婆、速达、智邦国际、科脉、海典、思迅、OA系统、自建网站数据库——都是它的重点目标。

入口选择也很"本土化"：暴力破解暴露在公网的3389端口（RDP），或利用畅捷通T+、用友U8等财务软件的未修补漏洞潜入。MSSQL 1433端口暴露+sa弱口令是另一个重灾区——通过xp_cmdshell直接拿系统权限。

三个隐蔽的"后手"

加密只是表面，.xor还留了三手暗棋：

篡改hosts文件。

把卡巴斯基、360、BleepingComputer、NoMoreRansom等安全网站指向127.0.0.1，让你找不到解密工具，断绝外部求援通道。

锁定桌面背景。

强制替换为勒索警告图，后台进程实时监控——你改回去它秒换回来。持续心理施压，逼你在慌乱中付款。

浏览器劫持。

篡改主页、安装恶意扩展，监控浏览行为，留好后门随时推送新载荷。

注册表留痕与文件跳过机制

两个可利用的技术特征：

.xor会在HKEY_CURRENT_USER\Software\Phobos写入受害者ID，可通过组策略监控该路径变更来早期发现

加密时跳过小于1KB或大于50GB的文件——可以在关键目录放置大量小诱饵文件，配合EDR触发行为告警

防御建议

首要任务：

3389、1433、445端口禁止暴露在公网，用VPN/堡垒机替代直接RDP

MSSQL禁用xp_cmdshell，更改默认端口，sa账户强密码+最小权限

用友U8、畅捷通T+等财务软件及时打补丁，关注Nday/1day漏洞

纵深防御：

部署EDR，监控vssadmin delete shadows、批量文件修改、Phobos注册表路径变更

启用Credential Guard防止Mimikatz提取NTLM哈希

数据库和财务系统放在独立VLAN，防火墙严格限制跨区访问

备份启用WORM（一次写入多次读取）策略，阿里云OSS/腾讯云COS合规保留模式均可实现，设定保护期内连管理员都无法删除

应急响应：

发现感染立刻物理断网，不要只禁用网卡——拔网线

在安全设备上修改所有核心账号密码，强制下线已登录会话

检查hosts文件是否被篡改（C:\Windows\System32\drivers\etc\hosts）

恢复从离线备份拉取，不从受感染系统恢复

.xor的威胁不在加密本身，在于它加密前已经拿走了你的数据、密码和身份。等你看到勒索信的时候，该丢的东西早就丢了。

阅读原文：点击这里

该文章在 2026/7/30 16:04:54 编辑过

关键字查询

正在查询...

点晴ERP是一款针对中小制造业的专业生产管理软件系统,系统成熟度和易用性得到了国内大量中小企业的青睐。

点晴PMS码头管理系统主要针对港口码头集装箱与散货日常运作、调度、堆场、车队、财务费用、相关报表等业务管理，结合码头的业务特点，围绕调度、堆场作业而开发的。集技术的先进性、管理的有效性于一体，是物流码头及其他港口类企业的高效ERP管理信息系统。

点晴WMS仓储管理系统提供了货物产品管理,销售管理,采购管理,仓储管理,仓库管理,保质期管理,货位管理,库位管理,生产管理,WMS管理系统,标签打印,条形码,二维码管理,批号管理软件。

点晴免费OA是一款软件和通用服务都免费，不限功能、不限时间、不限用户的免费OA协同办公管理系统。