.rox 反复入侵的真相：缺的不是杀毒，而是资产边界的重新划分
- 客户名称：国内某公司
- 售前服务顾问：陈顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
91数据恢复工程师遇到的这起现场的起点很朴素：一份每周自动跑的业务备份脚本。企业用它把服务器上的资料定时同步到另一个盘，脚本写得也简单，几行命令加一个日志输出。IT 换过人，脚本一直没人动，任务一直跑，也没人看日志。数据的重要性不容小觑，您可添加我们的技术服务号（data388），我们将立即响应您的求助，提供针对性的技术支持。问题就出在这里：脚本在一个没人注意的时机被改了一行，任务从那以后每周准时执行两次——一次做备份，一次做别的。.rox 相关样本在这起现场的表现与以往不同：它不是"整个盘一起动手"，而是被"叫醒"式的——由已有的计划任务或脚本触发，按周、按时间点执行。这类现场最难的地方在于，加密不是突发的，是"准时"的。
.rox 反复入侵的真相：缺的不是杀毒，而是资产边界的重新划分
案例简介：
91数据恢复工程师遇到的这起现场的起点很朴素：一份每周自动跑的业务备份脚本。企业用它把服务器上的资料定时同步到另一个盘，脚本写得也简单，几行命令加一个日志输出。IT 换过人，脚本一直没人动，任务一直跑，也没人看日志。数据的重要性不容小觑，您可添加我们的技术服务号（data388），我们将立即响应您的求助，提供针对性的技术支持。问题就出在这里：脚本在一个没人注意的时机被改了一行，任务从那以后每周准时执行两次——一次做备份，一次做别的。.rox 相关样本在这起现场的表现与以往不同：它不是"整个盘一起动手"，而是被"叫醒"式的——由已有的计划任务或脚本触发，按周、按时间点执行。这类现场最难的地方在于，加密不是突发的，是"准时"的。
序言
91数据恢复工程师遇到的这起现场的起点很朴素：一份每周自动跑的业务备份脚本。企业用它把服务器上的资料定时同步到另一个盘，脚本写得也简单，几行命令加一个日志输出。IT 换过人，脚本一直没人动，任务一直跑，也没人看日志。数据的重要性不容小觑，您可添加我们的技术服务号（data388），我们将立即响应您的求助，提供针对性的技术支持。问题就出在这里：脚本在一个没人注意的时机被改了一行，任务从那以后每周准时执行两次——一次做备份，一次做别的。.rox 相关样本在这起现场的表现与以往不同：它不是"整个盘一起动手"，而是被"叫醒"式的——由已有的计划任务或脚本触发，按周、按时间点执行。这类现场最难的地方在于，加密不是突发的，是"准时"的。
91数据恢复这篇按客观记录的写法，把溯源过程分层展开，每一层写清楚看到了什么、怎么排除了别的可能。
一、现象：出事的时间有规律
★ 观察记录
- 事件不是一次性爆发，而是连续三个周末出现异常；
- 每次异常的时间集中在同一个小时段；
- 每次涉及的文件范围相似，都是同一批目录；
- 工作日白天完全正常，机器能开机、能点、业务软件能跑。
★ 第一判断 "只在特定时间出问题"这一条，就排除了"有人点错文件"的可能。偶发的手误不会准时。
二、第一层溯源：从时间点往回收
★ 现场动作
- 按修改时间排序，圈出这批文件被改写的起始分钟；
- 在事件查看器里对照这一分钟前后的系统记录；
- 发现每次都在同一分钟内，有一条"任务计划程序"的启动记录。
★ 这一步得到什么
- 加密动作是被"计划任务"触发的，不是人为启动的程序；
- 任务名很普通，看起来像运维自己起的名字，不容易被注意。
如果您正在经历数据恢复的困境，我们愿意与您分享我们的专业知识和经验。通过与我们联系，您将能够与我们的团队进行沟通，并获得关于数据恢复的相关建议。欢迎联系我们的vx技术服务号（data388）
三、第二层溯源：这个任务是哪天注册的
★ 现场动作
- 查看该任务的注册时间与创建者；
- 注册时间早于第一次出事的三周；
- 创建者是本机管理员账号，而这台机器的管理员账号全公司共用。
★ 这一步得到什么
- 存在三周的潜伏期，这段时间里没人发现异常；
- 注册账号无法定位到具体某个人（共用账号的代价）。
四、第三层溯源：任务调用的东西被改过没有
★ 现场动作
- 打开任务指向的脚本，与另一台未受影响机器的同名脚本做比对；
- 尾部多出一行，内容经过编码处理；
- 脚本头部另有一处改动：日志输出被指向了空设备，运行后不再留下记录。
★ 关键判断
- 这一行只是"调用"，真正干活的程序在别的位置；
- 日志被关掉，说明改动是有意为之，不是误操作。
五、第四层溯源：谁能改到这份脚本
★ 现场动作
- 查看脚本所在目录的权限：全员可写，权限继承开着；
- 查看共享访问记录：非工作时段有来自其他办公机的写入；
- 查该目录的变更记录：没有，从来没人做过版本管理。
★ 这一步得到什么
- 脚本在一个所有人都能写的目录里，改它不需要任何额外权限；
- 谁改的查不出来，因为既没有日志，也没有版本记录。
六、第五层溯源：为什么它能跑起来
★ 现场动作
- 查看任务的运行身份：以最高权限运行；
- 这意味着脚本里调用什么，系统都不会拦；
- 安全软件的排除项里，这个目录早就被加进了白名单（当年为"避免备份被拦"而加的）。
★ 这一步得到什么
- 权限、白名单、日志，三样都没有，等于一条通道全线敞开。
七、第六层溯源：为什么三周没人发现
★ 现场动作
- 备份任务的日志被人为关闭；
- 没有文件完整性监控，脚本改动无人知晓；
- 计划任务列表没人定期看；
- 那三周里，确实有过一次小范围异常，被当成"个别文件损坏"处理了。
★ 一个细节 事件里还出现了云同步的痕迹：这台机器的同步目录里存着业务资料的副本，加密一开始就同步出去了，另一台在家办公的笔记本当天下午也出现同样后缀。这是 .rox 现场的老问题——本地出事，云端分发。
八、结论：这条链上有五个可拦点
★ 拦点一：脚本目录
- 不给全员可写，脚本单独放一个只有运维能写的目录；
- 每次改动留版本，能比对。
★ 拦点二：任务注册
- 计划任务的创建、修改都留记录；
- 定期导出一份任务清单，与上一次比对。
★ 拦点三：日志
- 备份脚本的输出日志不能关；
- 日志要写到另一个位置，避免被一并处理。
★ 拦点四：白名单
- 安全软件的排除目录要收敛，不能用"避免误拦"为由把整个目录放行；
- 排除项变更要有审批。
★ 拦点五：同步
- 同步目录不存放唯一版本；
- 事发时先退出同步再断网。
九、处置顺序
- 第一步，先停任务：把可疑的计划任务停用，不是删除，先留着取证；
- 第二步，退出同步、再断网：顺序不能反；
- 第三步，留证：任务清单、脚本原件、日志、被改写文件的时间窗；
- 第四步，做整盘镜像：后续尝试只在副本上进行；
- 第五步，划边界：谁有这台机器的写权限、谁绑了同一同步账号，全部纳入排查；
- 第六步，核验离线备份：只核验不接入，抽样验证可用再恢复。
- 对原盘做完整镜像，后续排查与尝试只在副本上进行，原盘封存。
- 同步目录不存放唯一版本资料，备份离线轮换并定期抽样验证可用性。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.rox勒索病毒，.xor勒索病毒，.weax勒索病毒，.ths勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，.sorry勒索，病毒.bres勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.god8damn勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.L0CK3D勒索病毒，.piz勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
