序言
这起现场的电话是这么打进来的：全公司电脑的文件都打不开了，今天必须交一批货。
到场后最先看到的不是病毒，是结构问题——办公网和访客WiFi共用一个二层网络，访客连上就能直接看到内网设备。等于把一条最容易进人的通道，接在了最关键的位置上。数据的重要性不容小觑，您可添加我们的技术服务号（data388），我们将立即响应您的求助，提供针对性的技术支持。
以下按时间线记录，每个节点写清楚看到了什么、做了什么。文中的时间以到场时刻为零点。
一、时间线记录
T+0｜电话里的三句话
- "文件全变成 .rox 了，昨天还好好的"；
- "共享盘里的东西也打不开"；
- "同事的手机连着店里WiFi，会不会有关系"。
第三句话当场就被记下来了。多数人问这句话只是随口一提，但它往往是答案。
T+1｜到场看到的第一现场
- 前台、设计位、财务位共十余台机器，文档、图纸、表格全部带 .rox 后缀；
- 共享服务器上的目录同样被改写；
- 每台机器桌面上都躺着一份同名的说明文档，大小接近；
- 有一台笔记本因为当天没开机，暂时"正常"。
第一判断：不是各自中招，是同源投放。依据就是后缀一致、文档一致、时间集中。
T+2｜先做刹车，不做检查 现场动作：
- 逐台拔网线、关无线；
- 在文件服务器上把共享目录临时设为只读，阻断继续写入；
- 提醒所有人不要重启、不要点开文件、不要插U盘；
- 逐台记录：谁在用什么云盘客户端、有没有开自动同步。
最后这一项是关键一步。.rox 现场最怕的不是本地盘，而是同步。先退同步再断网，顺序错了，云端和别的设备会一起跟着坏。
T+3｜退同步，这一步没有讨价还价 现场动作：
- 找到所有装了云盘客户端的机器，先退出账号、暂停同步，再断开网络；
- 登记每台机器同步的目录范围，尤其是"桌面""文档"这类默认同步项；
- 检查手机、平板、家里电脑是否绑定了同一账号同一目录。
为什么这么急：同步是双向的。本地文件被改写，几十秒内就传到云端，再由云端分发给所有绑定设备。断网只挡住了网络扩散，挡不住已经发生的同步。
T+4｜转向无线：访客WiFi是怎么进来的 现场动作：
- 登录无线控制器，导出近三天的接入记录；
- 发现访客SSID与办公SSID使用同一套地址池，处在同一个网段；
- 未开启客户端隔离，访客设备之间可以互相访问；
- 办公区的无线AP管理地址，居然在办公网段内可直接打开。
再查交换机配置：
- 访客网络与办公网络接在同一台接入交换机的不同端口上，没有做VLAN划分；
- 也就是说，"访客"和"员工"在二层上是通的。
到这里，路径就清楚了：外来设备连上访客WiFi，与办公机处于同一网段，可直接访问共享目录与远程桌面端口。
T+6｜找出那台外来设备 现场动作：
- 从接入记录里筛出近一周新出现的设备；
- 对照DHCP租约与ARP表，锁定一台陌生终端；
- 查文件服务器访问日志，看到这个地址在夜间多次访问共享目录。
结论：那台访客设备不是"受害者"，是"起点"。它连上WiFi后，先扫描同网段开放的共享与远程端口，再借共享目录向内扩散。
T+8｜确认扩散的三个通道 现场记录：
- 通道一：共享目录。全员可写，一台机器写进去，所有人打开都是坏文件；
- 通道二：远程桌面端口。办公网内多台机器开着，且账号口令简单；
- 通道三：云同步。三台机器绑定了同一账号，同步目录包含桌面与文档。
三条通道叠在一起，才构成了这次"一夜之间全公司"。
T+12｜划边界，把范围锁住 现场动作：
- 按机器分四组：直接受影响、映射了同一批共享、服务器、备份介质；
- 全部隔离，不重启、不扫描、不删除；
- 对映射了共享但表面正常的机器，清理本地离线缓存后再单独封存；
- 备份盘一律不接入，只异地核对。
T+24｜核验备份，先看时间点 现场动作：
- 找到事发前两天的一份离线副本；
- 抽样打开验证，确认文件结构正常；
- 先恢复一个关键目录的小批量，观察一天再扩大。
T+72｜复盘，问题写清楚 复盘结论：
- 无线是这次的入口，但不是唯一问题；
- 真正的放大器是"共享可写 + 端口常开 + 同步常驻"这三件。
二、这起现场暴露的四个结构问题
▸ 问题一：访客网络与办公网络同网段
- 没有VLAN隔离，没有客户端隔离；
- 访客设备可以直接访问内网共享与远程端口；
- 这是最容易被忽略、也最容易修的一项。
▸ 问题二：无线AP的管理口裸露在办公网
- 任意一台办公机都能打开AP管理界面；
- 管理口令是默认的；
- 一旦被改配置，排查会更难。
▸ 问题三：共享目录全员可写
- 设计、财务、业务混在同一层级；
- 权限继承开着，谁在上级有写权限，下级全部可写。
▸ 问题四：云同步无人登记
- 谁装了什么客户端、同步了哪些目录，没有任何清单；
- 桌面、文档默认被同步，等于把最敏感的位置直接放到了云上；
- 手机、家用电脑绑定同一账号，扩散范围早就不止公司。
如果您在面对被勒索病毒攻击导致的数据文件加密问题时需要技术支持，欢迎联系我们的技术服务号（data388），我们可以帮助您找到数据恢复的最佳解决方案。
三、抢修现场总结出的处置顺序
1）先退同步，再断网
- 顺序反了，云端会先一步把坏文件分发出去；
- 退同步要做的事：退出账号、暂停同步、登记目录范围。
2）共享先只读，再谈其他
- 只读是立刻能做的刹车，不需要等排查结论。
3）不重启、不扫描、不删文件
- 重启会触发残留任务，扫描会覆盖原始数据，删除会失去修复材料。
4）按组隔离，不按"看起来正不正常"判断
- 映射了同一批共享、绑定了同一云账号的机器，一律按"可能已受影响"处理。
5）备份只核验不接入
- 确认存在早于事发的离线副本，抽样验证后再谈恢复。
四、后续整改，落地就四件
1）无线必须分两张网
- 访客SSID单独VLAN、单独地址池；
- 开启客户端隔离，访客之间不可互访；
- 访客网络到办公网默认禁止，只放行必要的上网出口。
2）AP与网络设备管理口挪进管理网
- 管理地址不放在业务网段；
- 改掉默认口令，限制可登录的来源地址。
3）共享按岗位分权限
- 取消全员完全控制，关闭不必要的权限继承；
- 正在编辑的文件本地留工作副本；
- 开启共享访问日志。
4）云同步建立台账
- 登记每台机器装了哪些同步客户端、同步了哪些目录；
- 敏感目录不进默认同步范围；
- 手机、家用设备绑定同一账号的情况一并登记。
五、结语
这起现场里，.rox 并没有用什么高明手段。它进的是一扇本来就开着的门：访客WiFi和内网同处一个网段，共享全员可写，远程端口常开，云同步无人登记。
抢修那几天最有用的一句话，是客户在电话里随口提的那句"同事手机连着我们WiFi"。很多事故的答案，早就被人说出来了，只是当时没人当真。
把访客网分开、把管理口收起来、把共享权限分清楚、把同步登记上——这四件事做完，下一次有人连上WiFi，也只是一次普通上网。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.rox勒索病毒，.xor勒索病毒，.weax勒索病毒，.ths勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，.sorry勒索，病毒.bres勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.god8damn勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.L0CK3D勒索病毒，.piz勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
联络方式：
客服热线：400-1050-918
技术顾问：166-6622-5144 133-1884-4580
技术顾问：176-2015-9934 155-2133-9934
邮箱：91huifu@91huifu.com
粤公网安备 44030502006563号