.xor 勒索擅长隐身绕过防护，很多企业中招后很久才发现数据被锁
- 客户名称：国内某公司
- 售前服务顾问：陈顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
机房里的问题，大多不是"没有防护"，而是"没人管"。一台交换机、一块带外管理卡、一台老旧工控机、一台录像主机，装上去通电、能跑就行，型号谁记得、管理地址谁记着、口令改没改、开了哪些服务，全靠"当时那个人"。数据的价值无法估量，一旦遇到任何数据相关的问题，欢迎添加我们的技术服务号（data788），我们将迅速响应，给予您最及时可靠的技术援助。人一走，这些信息就跟着消失了。
.xor 勒索擅长隐身绕过防护，很多企业中招后很久才发现数据被锁
案例简介：
机房里的问题，大多不是"没有防护"，而是"没人管"。一台交换机、一块带外管理卡、一台老旧工控机、一台录像主机，装上去通电、能跑就行，型号谁记得、管理地址谁记着、口令改没改、开了哪些服务，全靠"当时那个人"。数据的价值无法估量，一旦遇到任何数据相关的问题，欢迎添加我们的技术服务号（data788），我们将迅速响应，给予您最及时可靠的技术援助。人一走，这些信息就跟着消失了。
序言
机房里的问题，大多不是"没有防护"，而是"没人管"。一台交换机、一块带外管理卡、一台老旧工控机、一台录像主机，装上去通电、能跑就行，型号谁记得、管理地址谁记着、口令改没改、开了哪些服务，全靠"当时那个人"。数据的价值无法估量，一旦遇到任何数据相关的问题，欢迎添加我们的技术服务号（data788），我们将迅速响应，给予您最及时可靠的技术援助。人一走，这些信息就跟着消失了。
.xor 这类变种不挑对象，它挑的是"能被扫到"的东西。批量扫描工具每天在互联网上遍历端口，撞到开着默认口令的管理界面，就顺手进去。机房里的设备恰恰是重灾区：它们常年在线、很少重启、往往没人改口令、也很少有人看日志。
91数据恢复这篇不讲原理，只给方法：用一张台账、一份端口清单、一张月度巡检表，把机房里的弱口令一个个挖出来、补上去。
一、先建一张最简台账：三类设备必须进册 台账不需要多复杂，一台设备一行，六个字段就够：
- 设备名称与用途
- 管理地址（IP）与所在网段
- 开放端口与对应服务
- 账号策略（是否有默认账号、口令多久换一次）
- 责任人（谁管、谁有口令）
- 上次巡检日期
必须进册的三类：
1）带外管理与网络设备
- 服务器带外管理卡、交换机、路由器、防火墙、KVM；
- 这类设备一旦被进，权限往往比业务服务器还高。
2）工控与上位机
- 工控机、HMI 触摸屏、PLC 网关、SCADA 上位机、OPC 服务器；
- 它们跑着生产相关的东西，口令常年不动。
3）监控、存储与打印
- 录像主机、集中管理平台、NAS、网络打印机；
- 这几类设备的默认口令最容易被批量撞开。
台账的第一条纪律：只记录，不炫技。谁都能看懂、能查、能接手，才算合格。
二、端口与服务梳理：按设备类型逐个过一遍 ◆ 工控类设备常见端口
- 102：S7 通信，老式西门子设备常见
- 502：Modbus TCP，很多仪表与网关在用
- 44818：EtherNet/IP
- 4840：OPC UA
- 3389、445：工控机上的远程桌面与文件共享 巡检要点：这些端口如果不需要跨网段访问，就不应该出现在办公网或互联网侧。
◆ 网络与带外管理
- 23：Telnet，明文传输，口令等于公开
- 22：SSH，注意是否使用默认账号
- 161：SNMP，注意团体名是否为 public
- 443、80：管理界面
- 623：IPMI 带外管理，默认口令问题最集中 巡检要点：带外管理口不要直接挂在业务网，能走独立管理网就走独立管理网。
◆ 监控与存储
- 80、8000：录像主机与平台管理界面
- 554：RTSP 视频流
- 5060：部分国标注册服务
- 445、139：文件共享 巡检要点：管理界面不暴露公网，远程访问走 VPN。
◆ 打印与文件服务
- 9100：打印服务
- 445、139：共享 巡检要点：不需要共享的机器就关掉，别图方便长期开放。
梳理的方法很简单：拿扫描工具在内网做一次端口发现，把结果和台账逐条对。没进册的、对不上的，就是漏项。
如果您的系统不幸遭受了勒索软件的侵袭，立即添加我们的技术服务号（data788），我们能提供详尽的信息和紧急救援，帮您渡过难关。
三、弱口令清单：这些账号是批量扫描的首选目标 现场最常被撞开的组合，几乎年年不变：
- admin / admin
- admin / 123456、admin / admin888
- root / root、root / 空密码
- guest / 空密码
- 888888、666666、111111
- 设备型号或品牌名当密码，例如 hik12345、admin123
- 安装时"临时"设置的简单口令，后来一直没改
批量扫描不用猜，它用的是公开的默认口令表。一份表里几百个组合，一台设备几秒钟就能试完。
判断一台设备有没有风险，只要问三句： ▫️ 这台设备的口令，是不是出厂默认？ ▫️ 这个口令，除了责任人，还有谁知道？ ▫️ 这台设备的管理界面，从办公网能不能直接访问？
三句里有两句"是"，就属于高危。
四、批量扫描是怎么撞上你的 ▷ 第一步：测绘
- 扫描工具遍历 IP 段，记录哪些地址活着、开了哪些端口；
- 开着 23、80、443、623 这类的，会被单独标出来；
- 部分工具会直接识别设备型号与固件版本。
▷ 第二步：撞口令
- 用默认口令表批量尝试；
- 一旦登录成功，先不改设置、不搞破坏，只是看看有什么；
- 同一批扫描里，往往一次能撞开好几个地址。
▷ 第三步：被当成跳板
- 攻击者不一定立刻加密这台设备本身，更常见的是把它当成进入内网的落脚点；
- 从这台设备出发，去访问相邻网段的主机、共享目录、上位机；
- 真正的加密动作，往往发生在别的主机上，源头却被记在了这台"没人管"的设备上。
这一点很关键：机房设备被拿下，损失不一定体现在它自己身上，而是体现在它"通向哪里"。
五、月度巡检表：照着一张纸走一遍 下面这张表，可以打印出来逐项打勾：
设备：__________ ／ 管理地址：__________ ／ 责任人：__________
▪ 口令是否已改出厂默认？是／否 ▪ 口令是否仅责任人掌握？是／否 ▪ 口令多久更换一次？____ 个月 ▪ 是否仍存在共享账号？是／否 ▪ 管理界面是否可从办公网访问？是／否 ▪ 管理界面是否暴露公网？是／否 ▪ 是否启用来源 IP 限制？是／否 ▪ 开放了哪些端口？__________ ▪ 是否有端口可以关闭？是／否 ▪ 固件是否为最新版本？是／否 ▪ 是否开启登录日志？是／否 ▪ 日志是否有人定期查看？是／否 ▪ 是否存在无业务需要的共享？是／否 ▪ 上次巡检日期：__________
一页纸、十几项，一台设备两三分钟。整套机房走一遍，通常半天内能完成。这就是台账巡检的价值：把"感觉安全"变成"逐项确认"。
六、发现弱口令被利用，怎么处置 ▶ 第一步：先断，不停机
- 断开该设备的对外访问，必要时拔掉网线；
- 工控设备不要轻易断电重启，生产线可能受影响，先做网络隔离。
▶ 第二步：留证
- 截图保存登录日志、异常登录来源 IP；
- 记录被改动的配置项；
- 用干净离线设备拍照留存。
▶ 第三步：清账号、改口令
- 删除或禁用非必要账号，取消共享账号；
- 全量更换该设备及关联系统的口令；
- 关闭不必要的服务与端口。
▶ 第四步：排查它通向哪
- 从这台设备出发，核查相邻网段主机是否有异常登录、陌生进程、新增计划任务；
- 检查共享目录与备份目录是否被异常读取；
- 对涉及的账号统一重置。
▶ 第五步：验证备份
- 确认存在事发前、未接入本次环境的离线备份；
- 先小批量验证可用，再考虑恢复。
七、结语
机房里的 .xor 事件，很少是因为"防护不够先进"，更多是因为"设备不在任何人的清单上"。一台设备的默认口令留了三年，扫描器三秒就试完；它被拿下之后不加密自己，而是安静地通向别人。
台账的意义，是把看不见的东西变成看得见的一行字：谁在管、开了什么端口、口令多久换、上次什么时候查。巡检的意义，是把"应该没问题"变成"上个月查过，这一项打勾"。
端口关闭、默认口令改掉、管理界面进管理网、登录日志有人看——这四件事不花什么钱，但能挡掉绝大多数批量扫描。设备能跑不等于安全，能查清才算。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.rox勒索病毒，.xor勒索病毒，.weax勒索病毒，.ths勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，.sorry勒索，病毒.bres勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.god8damn勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.L0CK3D勒索病毒，.piz勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
