序言
BeijngCrypt家族攻击态势与企业中招趋势
当前面向国内中小制造、商贸、软件服务商的定向攻击持续走高，攻击者不再依赖大规模垃圾邮件泛撒，转而采用RDP弱口令爆破+手动落地恶意程序的轻量化入侵模式。数据的重要性不容小觑，您可添加我们的技术服务号（data388），我们将立即响应您的求助，提供针对性的技术支持。.baxia属于BeijngCrypt家族衍生变种，专门瞄准部署ERP、SQL数据库的企业服务器，攻击链路高度流水线化，入侵后优先摧毁系统自带容灾能力，再对业务核心文件实施加密处理，是近期内网横向扩散事件中高频出现的恶意程序。大量企业因公网直接开放远程桌面、缺少离线备份机制，一旦被入侵，业务中断时间会大幅拉长。
一、病毒画相（.baxia）
- 文件标记：被加密文件统一追加
.baxia后缀，原文件名保留；在被加密文件夹与系统桌面生成!_INFO.txt提示文件，作为攻击痕迹标识。 - 家族特点：BeijngCrypt家族变种，攻击目标具备明显倾向性，优先识别数据库、ERP业务文件，对操作系统核心文件不做加密，避免主机直接蓝屏，保障恶意程序完整执行全部动作。
- 传播入口：核心入侵渠道为公网暴露的RDP远程桌面，依靠弱口令暴力破解获取管理员权限，攻击者人工登录服务器后投放病毒程序；次要途径包含钓鱼附件、捆绑恶意安装包、内网共享漏洞扩散。
- 独有行为特征：入侵主机后不会立刻启动加密，预留静默侦察阶段；自动执行系统命令停止数据库、ERP相关服务，解除文件锁定；调用vssadmin指令清除卷影副本，禁用系统还原点，切断系统原生数据恢复途径，这也是该变种区别于其他病毒的典型特征。
二、技术本质（入侵链路、加密机制、进程行为）
3.1 完整入侵链路
RDP弱口令爆破 → 获取管理员账号权限 → 手动上传病毒本体 → 静默侦察，盘点内网资产，识别数据库/ERP服务器 → 终止业务服务、清除卷影副本 → 全盘加密目标文件 → 生成!_INFO.txt标记文件 → 在内网横向扫描，尝试访问其他共享主机。
3.2 加密机制
采用AES+RSA混合加密架构。使用AES算法对业务文件内容快速加密；再使用内置RSA公钥加密AES密钥。加密密钥不会存储在本地主机，文件完成加密后，依靠常规工具无法直接还原文件内容。
3.3 进程行为
病毒运行时会调用系统原生工具（vssadmin、net stop、wmic）完成破坏动作，依靠系统自带程序执行操作，规避基础杀毒软件的静态查杀；会主动过滤系统关键exe、dll文件，不加密系统组件，维持系统正常运行，最大化扩大业务层面损失。
如果您在面对被勒索病毒攻击导致的数据文件加密问题时需要技术支持，欢迎联系我们的技术服务号（data388），我们可以帮助您找到数据恢复的最佳解决方案。
三、中招后的挽回步骤（断网、隔离、查杀、数据保全）
操作原则：优先阻断扩散，禁止盲目重启服务器、执行磁盘修复操作，防止数据二次损坏。
- 隔离断网：发现文件出现.baxia后缀、桌面出现
!_INFO.txt，第一时间断开受感染主机网线，关闭无线连接；内网交换机上隔离该主机端口，阻断横向扩散通道，防止病毒感染内网其他服务器与工作站。 - 资产保全：对受感染主机磁盘做只读镜像备份，留存原始磁盘证据，禁止直接在原盘执行修复、解密操作；记录系统日志、进程列表、登录记录，留存入侵溯源素材。
- 查杀清理：在隔离环境下，使用终端安全产品全盘扫描，清除病毒本体、恶意计划任务、新增可疑管理员账号；重点检查RDP登录日志，清理攻击者留下的后门账号，修改所有服务器管理员密码。
- 业务评估：评估业务受损范围，区分加密文件、未受影响文件；启用离线备份介质，评估数据恢复可行性，规划业务恢复时间窗口。
四、打造企业级护城河（设备、策略、权限、备份）
- 访问入口管控 禁止公网直接暴露3389远程桌面端口；如需外网运维，改用VPN+内网RDP组合，配置RDP的NLA网络级别认证，设置IP访问白名单；落实强密码策略，定期轮换管理员账号密码，禁用长期闲置账号。
- 终端与主机防护 部署EDR终端检测响应系统，监控异常行为：批量卷影副本删除、大量文件改名、net stop批量终止数据库服务等高危操作；限制PowerShell、WMI、vssadmin等工具的非管理员调用权限；服务器关闭不必要共享文件夹，共享目录设置最小权限。
- 账号权限治理 落实最小权限原则，日常运维账号不分配本地管理员权限；数据库、ERP服务器单独账号体系，和办公电脑账号隔离；开启服务器登录审计，记录远程登录源IP、登录时间，异常登录实时告警。
- 备份体系（核心防线） 严格遵循3-2-1备份原则：至少3份数据副本，存储在2种不同介质，1份物理离线隔离。数据库定时全量备份+事务日志增量备份，离线备份介质定期脱离服务器网络，保证即便服务器被入侵，备份文件不受影响。定期演练备份恢复，验证备份可用性。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.weax勒索病毒，.wex勒索病毒，.rox勒索病毒，.Nilson勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，Devicdata-X-XXXXXX勒索，病毒.qewe勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.qewe勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.piz勒索病毒，.farfor勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
联络方式：
客服热线：400-1050-918
技术顾问：166-6622-5144 133-1884-4580
技术顾问：176-2015-9934 155-2133-9934
邮箱：91huifu@91huifu.com
粤公网安备 44030502006563号