文件后缀变成.ths 是什么病毒？新变种加密原理怎么识别？
- 客户名称：国内某公司
- 售前服务顾问：陈顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
SSH端口被爆破入侵，和邮件附件中毒的表现形式完全不同。整个入侵过程不需要任何人点击文件，所有动作在后台静默执行，初期几乎没有直观异常。运维人员很难通过桌面弹窗、程序报错来发现入侵痕迹，唯一能捕捉到的线索藏在服务器登录日志之中。
文件后缀变成.ths 是什么病毒？新变种加密原理怎么识别？
案例简介：
SSH端口被爆破入侵，和邮件附件中毒的表现形式完全不同。整个入侵过程不需要任何人点击文件，所有动作在后台静默执行，初期几乎没有直观异常。运维人员很难通过桌面弹窗、程序报错来发现入侵痕迹，唯一能捕捉到的线索藏在服务器登录日志之中。
序言
没经验的网管会把SSH端口直接对外映射，觉得设置一个简单密码就能抵挡外部探测。一线大量现场案例证明，这类想法存在极大隐患。数据的重要性不容小觑，您可添加我们的技术服务号（data388），我们将立即响应您的求助，提供针对性的技术支持。.ths勒索病毒针对Linux服务器、搭载SSH服务的小型存储设备的探测行为持续活跃，依靠自动化字典扫描，通过SSH弱口令完成初始侵入。不少小加工厂、贸易商行的业务服务器常年裸奔在公网，没有日志审计、没有访问限制，一次爆破成功，就能让整套业务数据陷入危机。91数据恢复专家基于多起现场复盘记录，围绕中毒后的标准处置流程、各类高危禁忌操作展开分析，梳理适合小型运维团队落地的处置思路。
感染初期识别，抓住最早预警信号
SSH端口被爆破入侵，和邮件附件中毒的表现形式完全不同。整个入侵过程不需要任何人点击文件，所有动作在后台静默执行，初期几乎没有直观异常。运维人员很难通过桌面弹窗、程序报错来发现入侵痕迹，唯一能捕捉到的线索藏在服务器登录日志之中。
在现场取证工作里经常看到，系统日志短时间内涌出数十条来自不同外部IP的失败登录记录，大量账号尝试连接SSH服务。很多兼职管理员不会坚持每日查看登录审计，这类批量爆破记录很容易被忽略。攻击者在试出有效账号密码后，会登录服务器后台，上传轻量工具包，读取本地文件目录，开始清点磁盘内存储的业务资料。
这个阶段服务器CPU、磁盘负载不会出现明显波动，业务系统还能正常对外提供服务。很多人会误以为服务器一切正常，直到文件后缀出现变化才察觉异常。识别.ths感染的早期手段，核心就是定期抓取SSH登录日志，持续关注陌生IP的高频登录尝试，一旦发现连续失败登录记录，就要立刻启动账号加固，切断爆破通道。
中毒后标准操作流程：隔离优先，保全现场
确认服务器出现.ths感染迹象，第一步操作不是查杀，而是隔离。物理层面断开服务器的网络接入，若是云主机，则在控制台切断安全组内的内外网通信，阻断病毒向同网段其他设备横向扩散。SSH一旦被攻破，攻击者拿到服务器权限后，会利用服务器内存储的账号凭据，尝试访问内网其他Linux主机、NAS存储设备。只要网络保持连通，短时间内多台设备会接连被侵入。
隔离完成之后，需要对当前设备做现场保全。不要随意修改磁盘内任何文件，不要执行磁盘修复、磁盘碎片整理操作。在一线实操场景，不少管理员急于排查问题，直接登录系统删除可疑文件，这一行为会覆盖磁盘原始痕迹，破坏取证信息，干扰后续对入侵路径的溯源。
接下来需要做资产登记。记录服务器型号、系统版本、开启的所有服务、挂载的数据盘以及共享目录清单。导出系统全部登录日志、操作日志，单独保存到离线存储介质。日志文件是定位入侵时间点、爆破来源IP最关键的材料。日志导出之后，才可以对未感染的内网设备进行账号排查与权限重置。
完成基础保全之后，需要梳理受影响文件范围，区分系统文件与业务文件。.ths不会改动系统核心组件，只会遍历数据分区，锁定图纸、台账、数据库备份文件这类高价值资料。统计受影响目录，标记未被触及的干净数据，将未感染的业务资料迁移到隔离存储介质，避免二次污染。
如果您正在经历勒索病毒的困境，欢迎联系我们的vx技术服务号（data388），我们愿意与您分享我们的专业知识和经验。
高危禁忌操作，这些行为会加剧数据损失
处置.ths中毒事件，存在不少极易踩中的操作误区，很多是运维人员下意识做出的操作，会直接放大损失。
最常见的错误，是发现异常后直接重启服务器。Linux系统重启不会清除恶意脚本，反而会触发驻留程序重新加载，部分残留的后台任务会继续扫描内网。同时重启动作会刷新部分内存日志，丢失攻击者登录之后的临时操作记录，丢失重要的现场证据。
还有一部分管理员会直接在中毒服务器上全盘执行安全扫描。杀毒程序扫描磁盘时会产生大量读写动作，覆盖磁盘空闲扇区，部分原始文件残留碎片会被擦除。对于存在数据恢复需求的场景，这类全盘扫描会大幅降低后续处理的可行性。
不要尝试直接修改文件后缀来恢复文件。.ths完成加密之后，文件内部数据结构已经改写，单纯修改后缀无法还原内容，反复打开加密文件会重复调用磁盘读写，进一步破坏原始数据状态。
还有一个高频错误：保留原有SSH账号密码，仅仅删除服务器上可疑文件。攻击者一旦拿到账号，大概率已经把凭据同步到外部，只要账号密码不变，攻击者随时可以再次通过SSH端口接入服务器，造成二次入侵。单纯清理恶意文件，不修改账号、不加固端口，等于给攻击者保留再次进入的通道。
溯源排查，定位SSH爆破的完整链路
现场保全完成后，依靠导出的登录日志，可以定位入侵节点。排查工作重点查看SSH登录记录，筛选出登录成功的陌生公网IP，核对登录时间，确认攻击者进入服务器的具体时刻。顺着这个时间线，查看登录之后执行过的系统命令，判断攻击者是否从这台服务器访问内网其他设备。
很多小微企业存在一个共性问题：多台服务器使用同一套SSH账号密码。一台服务器被爆破成功，攻击者会复用这套凭据批量尝试内网其余主机，造成连锁沦陷。在某工贸企业案例中，一台对外暴露SSH的存储服务器被攻破，因为内网三台业务主机账号完全一致，攻击者在两小时内完成全部设备的遍历。
排查过程还需要确认攻击者是否修改过SSH配置文件，是否新增了后门账号。部分案例中，攻击者会新增隐藏账号，就算管理员修改原有账号密码，新增后门账号依旧可以继续登录服务器。这一步检查不能省略，否则后续加固形同虚设。
事后重建与长效加固，封堵SSH弱口令漏洞
事件处置收尾阶段，服务器重建工作，优先选择重装系统。单纯清理恶意程序很难清除所有后门组件，重装是最稳妥的方案。重装完成之后，不要立刻把服务器直接暴露公网，先修改账号策略。
关闭root账号直接通过SSH登录，创建独立的普通管理账户，使用密钥登录替代密码登录，这是抵御SSH爆破最有效的手段。如果业务场景必须保留密码登录，密码必须设置为长组合字符，杜绝简单数字、企业名称缩写这类弱口令。限制SSH登录来源IP，只允许企业固定公网IP接入，拒绝全网段访问。
端口层面，不建议直接使用默认22端口对外暴露。修改SSH默认端口只能减少自动化工具的批量扫描，不能当作唯一防护手段，密钥认证与访问白名单才是核心防护。定期导出SSH登录日志，设置告警，一旦出现短时间批量失败登录，立刻触发预警。
备份机制依旧是最后的兜底手段。业务数据备份需要脱离服务器本身，采用离线异地存储，备份完成后，定期抽查文件能否正常打开，不能只依靠备份任务的成功提示。服务器与内网存储设备，不要共用一套登录凭据，做好账号隔离，就算一台设备被攻破，也不会牵连全部内网资产。
小微企业运维人手不足，很难做到全天候监控服务器，SSH这类远程服务一旦配置不当，就会成为攻击入口。弱口令爆破攻击不需要复杂漏洞，依靠自动化脚本就能持续扫描全网。很多事故的根源，不是病毒技术多么复杂，而是长期忽略远程访问账号安全，没有基础登录审计。提前做好账号加固、访问限制，远比遭遇入侵之后再紧急处置更能保护业务数据。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.weax勒索病毒，.wex勒索病毒，.xor勒索病毒，.Nilson勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，Devicdata-X-XXXXXX勒索，病毒.qewe勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.qewe勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.piz勒索病毒，.farfor勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
