服务器感染了.weax 勒索病毒，如何确保数据文件完整恢复？
- 客户名称：国内某公司
- 售前服务顾问：谢顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
.weax 勒索病毒在执行加密时，通常遵循特定的文件白名单或黑名单逻辑。它专注于文档（.doc, .xls, .jpg）和数据库（.sql, .mdb），但对于安装在 AppData 或特定目录下的大型复杂软件数据（如聊天记录），往往因为文件锁或非标准格式而被“放过”。
本文将介绍如何从微信/QQ 的本地碎片文件中抢救聊天记录，以及如何部署 WDAC（Windows Defender Application Control），构建一个基于代码签名的“只读”内核环境，让 .weax 病毒根本没有资格申请运行许可证。
服务器感染了.weax 勒索病毒，如何确保数据文件完整恢复？
案例简介：
.weax 勒索病毒在执行加密时，通常遵循特定的文件白名单或黑名单逻辑。它专注于文档（.doc, .xls, .jpg）和数据库（.sql, .mdb），但对于安装在 AppData 或特定目录下的大型复杂软件数据（如聊天记录），往往因为文件锁或非标准格式而被“放过”。
本文将介绍如何从微信/QQ 的本地碎片文件中抢救聊天记录，以及如何部署 WDAC（Windows Defender Application Control），构建一个基于代码签名的“只读”内核环境，让 .weax 病毒根本没有资格申请运行许可证。
导言
.weax 勒索病毒在执行加密时，通常遵循特定的文件白名单或黑名单逻辑。它专注于文档（.doc, .xls, .jpg）和数据库（.sql, .mdb），但对于安装在 AppData 或特定目录下的大型复杂软件数据（如聊天记录），往往因为文件锁或非标准格式而被“放过”。
本文将介绍如何从微信/QQ 的本地碎片文件中抢救聊天记录，以及如何部署 WDAC（Windows Defender Application Control），构建一个基于代码签名的“只读”内核环境，让 .weax 病毒根本没有资格申请运行许可证。如果您正在经历数据恢复的困境，我们愿意与您分享我们的专业知识和经验。通过与我们联系，您将能够与我们的团队进行沟通，并获得关于数据恢复的相关建议。如果您希望了解更多信息或寻求帮助，请随时添加我们的技术服务号（data388）免费咨询获取数据恢复的相关帮助。
一、 .weax 的“选择性忽略”与“无签名执行”
1. 加密引擎的盲区
.weax 病毒为了确保加密速度和系统稳定性，通常会跳过正在被其他进程以“独占方式”打开的文件。即时通讯软件（如微信）的数据库文件（MSG.db, MicroMsg.db）通常在软件后台运行时被锁死，这可能导致病毒绕过这些目录，或者因为文件扩展名未被列入特征库而被幸存。
2. 利用系统信任链的无签名攻击
.weax 病毒的主体通常没有合法的数字签名。在现代 Windows 安全架构中，虽然微软强调代码签名，但普通用户模式下，未签名的 EXE 依然可以运行。这给了病毒可乘之机。
二、 数据恢复：抢救 IM 软件（微信/QQ）的本地数据库
对于中国用户及许多跨国企业，微信/QQ 的聊天记录价值往往超过硬盘里的 Excel 表格。
1. 微信数据库的“幸存”
.weax 加密用户文件夹（Documents）时，通常不会触及 Documents\WeChat Files 目录下的所有深层索引文件，或者因为数据库文件巨大且处于频繁读写状态，导致加密不完整。
-
操作逻辑：
-
-
切勿重装软件： 发现中毒后，不要立即卸载或重新安装微信/QQ，这会覆盖原始数据。
-
定位文件： 进入
C:\Users\[用户]\Documents\WeChat Files\[wxid]\Msg。 -
寻找线索： 即使
MSG.db被加密损坏，同目录下的MSG.db-shm（共享内存文件）和MSG.db-wal（预写日志）往往完好无损。这两个文件记录了最新的聊天记录。 -
提取与修复： 将
MSG.db-shm和MSG.db-wal复制到干净的 U 盘。使用第三方 微信数据库解密/修复工具，利用旧版本的数据库文件（如果有的话）作为索引，尝试从 WAL 日志中“重放”出最后的聊天内容。
-
2. QQ 文件的残留
QQ 的数据存储在 C:\Users\[用户]\Documents\Tencent Files\[QQ号]\Image 和 Msg2.0.db 等。
-
操作逻辑： 检查
Image2文件夹。病毒通常加密图片文件，但 QQ 接收的图片可能因为带有长随机命名而被病毒漏过。使用 Everything 等搜索工具，按时间排序，筛选“最近 7 天”的文件，你可能会发现大量聊天记录中的图片并未被加密，可以手动找回。
3. 浏览器扩展数据残留
不仅是聊天记录，浏览器的扩展插件数据往往也幸存。
-
操作逻辑： 检查
C:\Users\[用户]\AppData\Local\Google\Chrome\User Data\Default\Local Storage。这里存储了浏览器插件的本地缓存。如果你使用了云笔记插件或密码管理器插件的本地缓存功能，这里可能存有被病毒忽略的文本数据（.ldb或.log文件）。
如果您正在经历勒索病毒的困境，欢迎联系我们的vx技术服务号（data388），我们愿意与您分享我们的专业知识和经验。
三、 预防：启用 Windows Defender Application Control (WDAC)
这是目前微软提供的最高级别的应用程序防御策略，比 AppLocker 强大得多。它运行在内核模式，可以强制要求：只有经过特定证书签名的软件才能运行。
1. 从“白名单”升级到“代码完整性策略”
-
原理： WDAC（以前称为 Device Guard）利用 Windows 内核的虚拟化安全功能 (VBS)，拦截任何未签名或签名无效的可执行文件（.exe, .dll, .ps1）。
-
部署策略：
-
-
扫描模式： 首先在测试机上创建一个 WDAC 策略，设置为“审核模式”。让系统记录当前所有允许运行的合法软件的签名信息。
-
生成策略： 使用
New-CIPolicycmdlet 将这些签名生成一个 XML 策略文件，并转换为二进制格式 (.p7b)。 -
强制模式： 将策略部署到生产环境并开启“强制模式”。
-
-
防御 .weax 的效果：
-
-
.weax 病毒是未签名的二进制文件。当它试图运行时，WDAC 在内核层直接拦截。
-
即使病毒伪装成系统进程（如
svchost.exe），如果没有微软的签名证书，或者哈希值不匹配，系统会直接弹出蓝屏或拒绝执行警告。 -
AppLocker vs WDAC： AppLocker 只能拦截用户模式的程序， knowledgeable 的攻击者可以绕过。而 WDAC 基于虚拟化技术 (VBS)，即使是拥有管理员权限的病毒，也无法在没有合法签名的情况下写入内存执行代码。
-
2. 配置 UEFI 锁与 SMBUS 保护
配合 WDAC，需要在 BIOS/UEFI 层面进行加固。
-
策略： 启用 Secure Boot 和 UEFI Lock。
-
作用： 这防止了 .weax 或其他 Rootkit 病毒修改系统的启动配置或替换 WDAC 策略文件。这意味着，即便病毒拿到了管理员权限，它也无法关闭 WDAC 这道墙，因为墙的钥匙在硬件芯片里。
结语
面对 .weax 勒索病毒，数据恢复不应止步于文档。通过深入 IM 软件的本地数据库碎片（微信/QQ），我们有机会找回那些看似丢失的关键社交与工作记录。而在防御端，部署 WDAC（内核级代码完整性控制） 是一种降维打击，它将操作系统的执行权限从“允许一切”变为“仅限信任”，从根本上让未经签名的勒索病毒代码在内核层面绝育。这是对抗未来勒索病毒威胁的终极护城河。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.weax勒索病毒，.wex勒索病毒，.rox勒索病毒，.sorry勒索病毒，.sorry1勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，Devicdata-X-XXXXXX勒索病毒，.helper勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.FAFX勒索病毒，.flex勒索病毒，.piz勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
