某游戏运营公司 MS SQL 账号库被 Weaxor 加密的处置

客户为一家手游运营公司，代理发行数款休闲与卡牌类手游，玩家账号体系、充值订单与道具发放记录跑在同一台 Windows 服务器的 MS SQL Server 实例上：账号库与订单库同实例、不同库，数据文件与每日备份落在这台机器的另一个分区。

为方便外包的渠道结算团队远程接入，该实例的 1433 端口长期直接映射到公网，sa 账号沿用了项目立项时的初始口令，应用连接串也复用了 sa。

某个周末凌晨，客服后台被玩家投诉刷屏：登录提示账号校验失败，充值扣款后道具长时间不到账，支付渠道的回调请求全部超时。值班运维发现 SQL Server 服务已被停止，数据目录下的 .mdf、.ldf 与备份分区的 .bak 全部被追加 .rox 后缀，同目录出现名为 RECOVERY INFO.txt 的勒索信，内容引导下载 Tor 浏览器访问洽谈页面，并给出两个匿名邮箱作为备用渠道，声称可免费试解 3 个文件、每个不超过 5MB，但明确排除数据库与备份。卷影副本已被清空。

联系我们之前，值班人员已经手工启动过两次数据库服务，并尝试把一个被加密的 .bak 还原回实例。

第一通电话即下发止损指令：服务器断网保持开机，停止写入与计划任务，不要再启动数据库实例、不要对 .mdf 做 DBCC 修复或强制附加，同时关闭充值通道，避免半可用状态下继续产生无法对账的订单。

• 取证与镜像：对系统盘、数据盘与备份分区制作只读镜像，采集 SQL Server 错误日志与登录审计、xp_cmdshell 启用记录、Windows 安全日志、防火墙映射规则、计划任务与远控工具安装痕迹、勒索信原件与不同大小的加密样本，后续作业全部在副本上进行。
• 家族确认与可恢复性评估：.rox 后缀加 RECOVERY INFO.txt 勒索信判定为 Weaxor，与 Mallox 明确区分，Avast 的 Mallox 解密器不适用，无可用公开解密工具，解密路径当场排除。该家族各版本对大文件的处理方式并不统一，不能按 Mallox 外推，只能逐个实测：本次样本的 .mdf 分段熵值呈间歇加密特征，中段与尾部保留了可观比例的完整 8KB 数据页，.ldf 受损较轻，页级修复路径成立。
• 恢复实施：在隔离环境搭建干净实例，按页结构重建系统表与分配结构，逐表抽取可用数据页导出为新库（产出是可读数据而不是原始文件），再用未被覆盖的日志区段回放补齐停机前的增量，充值订单与渠道流水逐笔对账。
• 清除残留与加固：对外开放前先清除残留载荷与持久化——该家族使用多层混淆加载、进程注入与 AMSI 绕过，不清干净极易二次加密；随后取消 1433 公网映射改走 VPN 并强制多因素认证，重置口令并限制来源 IP，关闭 xp_cmdshell，应用改用最小权限账号，备份改为独立主机加离线不可变副本。
• 交付物：溯源与事件报告、按库按表的恢复覆盖率清单、数据外传评估结论、分批开服与对账验收清单。