2026年9月30日前后，勒索病毒组织再次发起了一轮规模空前的定向攻击——攻击目标直指国内著名ERP软件公司用友旗下畅捷通T+产品线。自9月30日起，云天数据恢复中心陆续接到大量同类问题的咨询电话，经过深入技术分析确认，本次受影响的主要为畅捷通T+产品线，同属用友旗下的U8等其他产品线并未受到此次攻击波及。黑客利用了系统漏洞进行批量自动化攻击，导致全国大范围畅捷通T+用户集中中毒。由于时值国庆假期，大量企业尚未察觉到系统已经中招，预计在10月8日复工后会有更多企业陆续发现ERP系统已被加密。
江苏某成衣制造企业正是这一轮攻击的受害者之一。其畅捷通T+ERP系统服务器遭到weax勒索病毒攻击，10个账套数据库及全部业务数据文件被加密，扩展名被篡改为 .weax，系统完全瘫痪。畅捷通T+承载着企业的财务、进销存、生产制造等核心业务，一旦停摆直接影响日常经营。云天工程师团队接到求助后立即启动应急响应，在24小时内协助客户完成了从病毒分析到10个账套100%完整解密的全过程。
weax勒索病毒加密特征与组织溯源
经溯源分析，此次攻击的weax勒索病毒与此前多次出现的 rox、wxr、wex变种属于同一黑客组织。该组织持续更换加密文件的后缀扩展名来规避安全软件的检测规则——从.rox到.wxr、.wex再到.weax，加密算法核心不变，仅修改文件标记字符串。本次攻击中黑客在勒索信中预留的联系邮箱为 datahelper@cyberfear.com，与rox、wxr、wex及此前智邦、管家婆等案例中使用的邮箱完全一致，进一步印证了同源性。weax勒索病毒的加密行为具有以下显著特征：
- 扩展名替换机制：病毒将目标文件（账套数据库文件、备份文件、Office文档、凭证附件等）的原始扩展名全部替换为 .weax。与rox（.rox）、wxr（.wxr）、wex（.wex）一脉相承，该组织每次变种攻击仅更换后缀字符串，成本极低，只需修改配置即可绕过安全软件的检测规则。
- 漏洞批量攻击：本次攻击与此前的"随机广撒网"不同，黑客利用了畅捷通T+产品的系统漏洞进行批量自动化攻击，短时间内在全国范围内造成大量畅捷通T+用户集中中毒。攻击针对性极强，仅命中畅捷通T+产品线，同属用友的U8等产品线并未受到波及。
- 加密算法极为复杂：该组织采用高强度加密算法对数据进行加密，算法复杂度远超普通勒索病毒。经大量实际案例验证，通过技术手段强行解密修复后的数据库，往往会出现部分数据丢失、账套报错等情况，即使工程师投入大量精力在数据库层面做了精修，仍然会间歇性出现莫名其妙的报错，稳定性难以保障。
- 勒索信与邮箱同源：病毒在每个被加密的位置投递英文勒索信，预留联系邮箱为 datahelper@cyberfear.com，与此前系列攻击中出现的邮箱完全相同，印证了该组织"一套基础设施、多个变种并行"的运营模式。
▲ 畅捷通T+系统被weax勒索病毒加密
▲ 畅捷通T+服务器被weax加密后，桌面文件扩展名全部变为.weax
▲ 畅捷通账套数据库和备份文件全部被加密为.weax，备份机制失效
▲ 畅捷通实体库被weax加密后，底层十六进制数据已全部变为乱码
▲ weax勒索信预留邮箱datahelper@cyberfear.com，与rox/wxr/wex系列攻击一致，判定为同一组织
⚠ 重要提醒：近期weax及其同组织变种（rox、wxr、wex）对畅捷通T+、智邦、管家婆、金蝶、用友等国内主流ERP系统的攻击频率显著上升。本次更是借助系统漏洞进行批量攻击，波及全国大量畅捷通T+用户，且时值国庆假期，不少企业可能尚未发现系统已经中毒，预计复工后将迎来一轮集中爆发。使用上述ERP系统的企业应立即检查数据备份完整性、加固远程访问安全策略、更新杀毒软件病毒库。如已遭遇攻击，切勿自行尝试修改被加密文件或重装系统——错误的操作可能永久破坏数据恢复的可能性。
畅捷通T+系统数据恢复
畅捷通T+是用友旗下面向成长型企业的ERP管理软件，其账套结构设计有其独特之处：系统将财务、进销存、生产制造等业务模块的数据分别存放于多个账套数据库中，账套之间勾稽关系紧密，对数据完整性要求极高。本案客户环境中共有10个账套，覆盖其成衣制造业务从财务核算、供应链管理到生产排产的完整链路，一旦被勒索病毒加密，不仅面临数据不可读的问题，还需确保解密后各账套之间以及账套内部各模块的勾稽关系验证能够通过。
工程师团队对加密样本进行了深入分析。底层十六进制检测确认weax的加密算法极为复杂。基于云天团队对rox/wxr/wex/weax系列变种丰富的对抗经验，工程师团队明确告知客户——该组织的加密算法复杂程度已远超普通勒索病毒，通过技术手段强行修复往往会带来数据丢失和账套报错的隐患。结合云天近期处理的200例以上weax成功案例的统计：仅有约20%的客户能够通过技术手段恢复，超过80%的客户最终都采用了支付赎金解密的方式。在与客户充分沟通评估后，本案采用了支付赎金成功解密的最稳妥方案。
在客户授权下，云天团队协助完成了赎金谈判和支付流程，顺利获取解密工具。解密工具运行完成后，工程师对10个账套逐一执行了完整性校验，并对财务、进销存、生产等各模块进行了数据验证——10个账套全部一次性通过，数据100%完整恢复，无任何数据丢失，无任何账套报错。从接到求助到系统恢复正常运行，全程控制在24小时内。
✔ 恢复结果：在云天工程师团队协助下，24小时内完成畅捷通T+系统10个账套数据库及全部业务文件100%完整解密，财务、进销存、生产等所有模块通过一致性验证，数据无任何缺失，系统恢复正常运行。
💡 技术说明：该组织采用的加密算法极为复杂，通过技术手段强行修复的数据库往往会出现数据丢失、账套报错等隐患，稳定性难以保障。因此本案在与客户充分沟通后，选择支付赎金获取官方解密工具的方式，确保10个账套100%完整解密、无任何报错。解密完成后，云天团队将第一时间为客户实施系统安全加固及异地备份，从根源上降低再次被勒索病毒攻击的风险。
▲ 解密后畅捷通T+数据库100%完整，账套数据无任何缺失
▲ 解密后畅捷通最新凭证数据完整恢复，财务数据准确无误
▲ 解密完成后畅捷通T+ ERP系统恢复正常使用，所有业务模块数据完整可用
weax/rox/wxr/wex系列病毒防护指南
本案核心教训：ERP系统已成为勒索病毒批量攻击的首要目标
从本次weax对畅捷通T+的批量攻击来看，勒索组织已不再满足于单点攻击，而是利用系统漏洞对特定ERP产品线发起批量自动化攻击，短时间内在全国范围内造成大面积中毒。攻击者已对国内中小企业的信息化生态进行了深入研究——他们清楚地知道哪些ERP产品占有率最高、哪些企业的IT防护最薄弱、哪些行业的业务停摆容忍度最低。对于使用畅捷通T+、智邦、管家婆、金蝶、用友等ERP系统的企业而言，安全防护已不是"可选项"而是"必选项"。
一、及时更新系统补丁——阻断漏洞利用
本次weax对畅捷通T+的批量攻击正是借助了系统漏洞。企业应建立补丁管理制度，及时安装畅捷通T+及底层数据库、操作系统的官方安全补丁，第一时间封堵已知漏洞。特别提醒：ERP软件厂商发布安全公告或补丁后，应立即组织升级，切勿拖延。
二、数据备份——最可靠的保险
畅捷通T+系统务必建立严格的数据备份制度。建议每日自动备份所有账套数据库至NAS或云存储，备份完成后立即断开与生产网络的连接。遵循"3-2-1"原则：至少3份副本、2种不同介质、1份异地离线存放。特别提醒：很多企业习惯将备份文件放在同一台服务器的其他盘符上——这在勒索病毒面前等同于没有备份，本案中账套备份即被一并加密。
三、远程访问安全加固
畅捷通T+系统的远程访问（供异地办公或移动审批使用）往往是攻击者突破的首选入口。建议关闭公网直接暴露的3389远程桌面端口；使用VPN替代端口映射；远程访问账户必须使用高强度密码并开启多因素认证；设置登录失败锁定策略防范暴力破解。
四、服务器安全基线
畅捷通T+服务器应保持操作系统及数据库的补丁及时更新；安装企业级杀毒软件并确保实时防护处于启用状态；防火墙仅开放必要的业务端口；关闭服务器上不必要的服务和计划任务；定期检查系统中是否存在异常账户或可疑进程。
五、节假日期间的重点防范
本次攻击特意选择在国庆假期前夕发起，正是利用了企业IT人员休假、无人值守监控的窗口期。建议企业在节假日等特殊时期加强安全值守，安排专人定期巡检服务器运行状态，或部署自动化监控告警，确保在攻击发生的第一时间能够及时发现、及时处置。
六、员工安全意识培训
许多企业的ERP服务器同时兼做日常办公电脑使用，员工在服务器上浏览网页、下载文件等行为大大增加了感染风险。建议将ERP服务器与办公电脑物理分离；对所有使用畅捷通T+系统的员工进行安全培训，重点防范钓鱼邮件和恶意附件；禁止在服务器上运行来源不明的程序。
七、感染后的紧急处理
如果畅捷通T+系统已被勒索病毒加密，请立即执行以下操作：第一时间断开服务器网络连接；不要关机、不要重启——内存中可能残留加密密钥相关信息；不要自行尝试修改被加密文件或使用网上流传的"通用解密工具"——错误的操作会永久降低甚至消除数据恢复的可能性；立即联系专业数据安全机构进行评估。云天数据恢复中心提供7×24小时应急响应服务，已累计处理超过5000例勒索病毒事件。
专业数据安全服务
云天科技专注企业数据安全，深耕行业十五年。我们已累计处理超过5000例勒索病毒应急响应事件，对rox、wxr、wex、weax等同一组织的系列变种拥有丰富的对抗经验和成熟的应急响应策略。针对畅捷通T+、智邦、管家婆、金蝶、用友等国内主流ERP系统的勒索病毒攻击，我们提供从病毒分析、数据解密到系统恢复的全流程闭环服务，既能为具备条件的客户提供技术破解，也能在必要时协助客户完成赎金谈判与安全解密。
如果您重视数据安全但缺乏相关技术支撑，欢迎联系我司洽谈安全运维服务。
24小时服务热线：18012660223
相关案例推荐：
