免费领取国家顶级域名（.cn/.中国）

欢迎加入国家域名信源站点导航

站点智能：AI搭建 AI辅助运营独立站，把生意做到全世界

尊敬的读者

这两天网络安全监测团队捕获到新型恶意程序样本，受感染主机内文档、图纸、数据库、备份文件会被追加.ths后缀，原有文件无法正常打开。企业不幸遭遇勒索病毒袭击，大量文件被加密手足无措？您可第一时间添加我们专业技术人员技术服务号（help5522）凭借大量实战经验，快速输出切实可行的处置方案。该恶意程序采用模块化攻击思路，和以往同类威胁在入侵路径、驻留机制上存在明显区别，多地中小企业办公系统、设计工作站出现中招案例。

一、攻击溯源：利用闲置权限完成渗透

该恶意程序不再单纯依赖邮件附件作为主要入口，更多通过弱口令爆破远程管理端口、暴露的后台管理面板入侵。攻击者扫描公网主机，尝试使用通用账号密码登录，拿到基础权限后，不会立刻执行文件篡改操作。

入侵初期会做环境探测，读取本地网络拓扑，扫描局域网内其他电脑与服务器，收集共享盘路径。恶意代码会判断主机是否安装安全防护软件，针对性规避查杀，等待合适时机再启动核心模块，潜伏期可长达数天。这种延后触发的方式，大幅提升了早期发现的难度。

二、核心行为：文件批量重写与备份清除

恶意程序启动后，优先遍历本地硬盘、网络映射盘里的目标文件类型，涵盖CAD图纸、财务表格、项目文档、图片素材等。被处理后的文件统一添加.ths后缀，原始文件内容被改写，常规软件无法读取。

它的一个突出特点：会主动检索并删除系统快照、本地备份文件、NAS内的备份副本。很多企业依靠本地备份做数据留存，一旦备份文件被清理，数据恢复难度会显著上升。恶意程序完成操作后，会在目录留下提示文档，告知主机遭遇入侵。

遭遇勒索病毒加密文件，业务停滞损失惨重？专业应急处置不可或缺。联系我们技术团队（help5522）服务号，快速处理数据加密危机。

三、传播特点：横向渗透优先，定向挑选目标

和大范围无差别泛滥的传统病毒不同，.ths变种偏向定向打击。攻击者会筛选目标行业，制造业、工程设计、财税服务这类存在大量高价值资料的机构是重点目标。

成功拿下一台终端后，恶意程序会利用内网共享通道横向扩散，同一局域网内多台设备可能陆续受到影响。U盘、移动硬盘接入中毒主机后，存储文件同样会被处理，存在离线设备交叉感染风险。

四、传统防护手段失效的关键原因

1. 恶意代码采用代码混淆，静态特征和过往样本差异大，传统特征库查杀很难识别；

2. 入侵动作依托合法远程管理协议，行为和正常运维操作高度相似，简单行为监控难以告警；

3. 攻击分阶段执行，入侵、探测、文件处理拆分为不同模块，不会一次性触发大量异常行为；

4. 针对系统自带备份机制做专项清除，很多企业的基础防护方案没有覆盖备份资产保护。

五、主机中招应急处置流程

1. 断网隔离：发现文件出现.ths后缀，第一时间断开主机网线、关闭无线，阻止恶意程序在内网继续扩散；

2. 停止操作：不要重启主机、不要反复尝试打开受损文件，避免对原始数据造成二次破坏；

3. 排查账号：修改所有服务器、远程桌面、后台管理系统密码，禁用陌生账号，检查是否存在异常登录记录；

4. 样本留存：保留提示文件以及少量受损样本，交由安全人员分析，评估数据留存情况；

5. 切勿随意运行网上不明修复工具，部分工具本身携带恶意代码，加剧损失。

六、长效安全加固方案

• 网络边界：对公网开放的远程管理端口做访问限制，仅允许指定IP接入，杜绝弱口令；

• 备份策略：建立离线隔离备份，备份介质平时断开网络，定期校验备份文件可用性，不要只依赖本地磁盘备份；

• 终端防护：开启主机行为检测，监控大批量文件修改、备份快照删除这类高危动作，配置实时告警；

• 权限管控：员工账号遵循最小权限原则，普通办公账号不允许直接访问核心服务器与共享存储；

• 安全巡检：定期核查服务器登录日志，重点关注凌晨等非工作时段的异常登录行为。

七、行业安全提示

当前各类后缀变种恶意程序迭代速度加快，攻击者不断调整入侵手段。企业不要把安全重心只放在终端杀毒软件上，内网横向扩散、备份资产保护是防御的重中之重。建议定期开展安全自查，完善应急响应预案，降低遭遇同类攻击带来的业务影响。