早上八点半，财务部急匆匆打来电话：用友客户端登录报错“数据库连接失败”，采购和库管紧接着反馈单据无法提交。运维人员远程连上服务器一看，心瞬间凉了半截——桌面上多了一封 FileRecovery.txt 或 !README!.txt 勒索信，SQL Server 数据目录里的 .mdf、.ldf 文件以及定时生成的 .bak 备份包，全都变成了 .rox、.weax 或 .LOCK3D 等陌生后缀。
近期，针对国产 ERP 系统的定向勒索攻击再次进入高发期。安全社区与威胁情报接连披露，用友畅捷通 T+、U8 Cloud、NC 乃至用友 BIP 等产品，频繁成为 Weaxor 勒索病毒（常见后缀 .rox / .weax / .wxx）、Mallox 以及各类新型变种的重点狩猎目标。
当企业遭遇用友勒索病毒时，很多 IT 人员的第一反应是“赶紧重装用友软件，再找人修一下数据库”。但在实际应急救援中，这种“头痛医头”的做法往往会导致账套对不上、单据附件全丢，甚至刚恢复上线不到三天就遭到二次加密。
本文将从攻击入口与系统架构出发，为您拆解用友 ERP 被加密后的科学抢救路径。
一、 为什么用友服务器总是成为勒索病毒的“重灾区”？
很多企业负责人感到委屈：“我们的服务器装了杀毒软件，平时也没人乱点钓鱼邮件，怎么就中招了？”
不同于办公电脑常见的木马传播，针对用友 U8、NC、畅捷通 T+ 的勒索攻击，绝大部分走的是“外网 Web 漏洞自动化利用”路线：
- 长期暴露在公网的业务端口：为了方便异地分支机构、外勤销售或财务人员在家办公，不少企业直接将用友的 Web 端口、应用服务端口甚至远程桌面（RDP）映射到了公网上。
- 高频爆发的历史漏洞与 0day 漏洞：用友系列产品组件复杂，近年来多次被披露存在反序列化、任意文件上传、远程命令执行（RCE）等高危漏洞。攻击团伙利用自动化扫描工具全网搜寻未打补丁的用友服务器，一旦命中，几秒钟内就能植入冰蝎、哥斯拉等 JSP/ASPX 内存马或 Webshell 后门。
- 权限过高与内网横向移动：很多用友应用服务默认以极高的系统权限运行。攻击者拿到 Webshell 后，顺势关停 SQL Server 服务与防病毒软件，清理系统卷影副本（VSS），最后投递勒索程序将整机锁死。
二、 核心误区：ERP 被加密，绝不只是“一个数据库坏了”
在传统的恢复观念里，救用友就是救 SQL Server。但实际上，用友 U8 / NC / 畅捷通 T+ 等现代 ERP 系统是一个多层耦合的业务体系。一旦遭遇勒索病毒，往往是应用服务层、数据库层、附件文档层与外部接口层四层资产同时失效：
- 第一层：数据库层（核心账套）
包括系统库（如UFSystem）和各个年度、各个账套的业务库（如UFDATA_xxx_2026）。如果只救回了业务库而丢了系统库，或者主数据文件（MDF）与日志文件（LDF）时间点错位，直接挂载会导致凭证断号、库存与总账逻辑校验报错。 - 第二层：应用与配置层
用友安装目录下的配置文件、数据源连接配置、自定义报表模板、二次开发插件等。勒索病毒在遍历加密时，常常把.xml、.config、.dll或脚本文件一并加密，导致即使数据库修好了，应用服务也无法启动。 - 第三层：非结构化附件层
采购合同扫描件、报销发票影像、生产工艺图纸等，很多是以独立文件形式存储在服务器特定目录下，数据库里只存了路径索引。忽略这一层的恢复，会导致恢复后的 ERP 变成“有单据、无凭证附件”的半残废状态。 - 第四层：驻留后门与漏洞层
潜伏在用友 Web 目录下的恶意脚本、内存中驻留的木马以及攻击者新建的隐藏管理员账号。
因此，科学的 用友 ERP 勒索病毒恢复方案 必须统筹考虑这四层资产的先后恢复顺序与数据一致性，而不是孤立地去跑一个数据库修复工具。
三、 中招后的黄金应急四步：先止损护现场，再谈恢复
当确认用友服务器被勒索病毒加密后，前 1 小时的现场处置直接决定了最终能救回多少成色的数据。关于现场保护，我们曾专门写过《用友数据库被加密后要保留哪些文件：这几类删了就真没了》，在此基础上，建议企业管理与运维人员严格按以下四步推进：
第一步：物理断网与冻住存储（切忌重启与重装）
立即拔掉中招服务器的网线，或在云控制台/防火墙策略中切断其内外网通信，防止病毒通过局域网共享或内网弱口令继续感染其他服务器（详情可参考《共享文件夹被勒索病毒加密了：先断共享，再找那台真正在加密的电脑》）。
严禁立刻重启服务器、严禁直接在原盘上重装用友软件或运行来路不明的“破解补丁”。任何写入操作都会覆盖磁盘底层的未分配空间与数据库残留页，彻底断送底层提取恢复的希望。
第二步：锁定勒索病毒家族与变种版本
不要盲目轻信黑客在勒索信里留下的邮箱或 Telegram 账号，更不要轻易尝试自行转账购买密钥。不同家族（如 Weaxor、Phobos、LockBit、Makop）的加密算法、加密比例（全加密还是头部间断加密）完全不同。
您可以先提取被加密文件的完整后缀名及勒索信名称，使用舍末无勒提供的免费在线工具进行 勒索病毒识别（或查阅 勒索病毒后缀查询表），快速初判所属家族。
第三步：多路径并行评估数据抢救空间
针对用友系统的 勒索病毒解密 与 数据恢复，专业团队通常不会把鸡蛋放在一个篮子里，而是根据现场受损情况组合采用以下技术路径：
- 针对间断加密的数据库文件级修复：许多追求加密速度的勒索病毒（包括部分 Weaxor 和 Mallox 变种）在面对几个 G 甚至几十个 G 的
.mdf和.bak大文件时，只加密文件头部或按固定步长抽样加密。此时直接强行附加数据库必定报错（参见《SQL Server 数据库被勒索病毒加密怎么恢复：先别强行附加 MDF，按这三步评估抢救空间》）。通过底层页结构解析、剥离受损文件头并重组数据页，往往能高完整度地提取出账套表结构与核心业务数据。 - 损坏备份包与磁盘底层碎片提取：即便定时生成的
.bak或.zip备份包也被加上了勒索后缀，或者被攻击者手工删除，只要原盘没有发生大规模二次写入，仍可通过 备份被删除或损坏恢复方案，从磁盘底层扇区、临时交换文件及残留快照中挖掘未加密的历史账套块。 - 业务级校验交付：数据提取出来只是第一步。真正合格的交付，是将修复后的数据库重新挂载到干净的用友测试环境中，配合企业财务与业务人员核对最新凭证日期、科目余额表、进销存台账，按系统与时间点如实标注数据完整度。
第四步：彻底清除 Webshell 后门与安全加固
为什么很多企业的用友系统恢复后不到一周又被同一个后缀再次加密？因为恢复数据时，只把新的数据库拷回了原来的老服务器，或者把原来的用友安装目录（连同里面的 Webshell 木马）原封不动地迁移到了新服务器上（详见《勒索病毒数据恢复后为什么会再次被加密：把数据救回来只是第一步，这四类后门没清干净别急着上线》）。
在业务重新上线前，必须同步完成 攻击溯源取证 与 安全加固防护：
- 全面排查 Web 访问日志与系统安全日志，精准定位攻击者是利用了用友的哪一个接口漏洞进来的，彻底清除驻留的内存马、计划任务与恶意服务。
- 关于用友软件本身的升级与补丁：需要特别说明的是，用友软件自身的安全补丁更新、版本升级与软件授权，需联系用友官方或您的软件代理商获取支持（本站作为独立第三方安全应急机构，与各 ERP 软件厂商无合作关系）。
- 收敛外网暴露面：取消用友端口与数据库端口（如 1433）的公网直连映射，改用带多因素认证（MFA）的 VPN 或零信任网关接入；同时搭建独立于生产网络之外的异地/离线不可变备份体系。
四、 结语：面对勒索危机，把专业的事交给专业的人
用友 ERP 承载着企业最核心的财务账目与供应链命脉。遭遇勒索病毒时，时间就是金钱，但“盲目折腾”往往比病毒本身更具破坏力。
舍末无勒（郑州舍末信息科技有限公司）专注于企业级勒索病毒解密、数据库抢救与 安全应急响应。我们坚持不支付赎金、不代为与攻击者谈判的原则，严格遵循透明的 服务流程与报价体系：先为您识别病毒家族与变种，开展底层样本分析，出具清晰的《可恢复性评估报告》（明确告知可恢复范围、可选路径、预期效果与潜在风险）及报价，由您确认后再推进实质性恢复。
如果您企业的用友 U8、NC、畅捷通 T+ 或其他业务服务器刚刚遭遇勒索病毒加密，请第一时间保护好现场，切勿随意重启或格式化磁盘。您可以通过以下方式联系舍末无勒获取 7×24 小时紧急技术支持：
- 在线求助与方案咨询：联系我们
- 24 小时应急响应热线：15639272850
- 应急支持邮箱：help@noransom.net
评论(0)