管家婆、速达账套被勒索病毒加密怎么办？

中小企业常用的进销存与财务软件，数据几乎都集中在一台 Windows 电脑或服务器上。先弄清账套落在哪里，才知道该保全什么、去哪里找备份：

金蝶精斗云、畅捷通 T+Cloud 这类 SaaS 版本的账套在厂商云端，本机被加密一般不会直接波及云端账套，但要按账号可能已泄露来处理。

自动备份为什么靠不住？ 这类软件的自动备份默认写在本机另一个目录或另一个分区，和数据库在同一块盘上、同一个系统权限之下。以数据库为目标的家族（如 Mallox、Weaxor）会先终止 SQL Server 服务、删除卷影副本，再把 .mdf、.ldf、.bak 等数据库与备份文件一并加密。结果就是「每天都在自动备份」，出事时一份能用的都没有。

真正值得找的是离开过这台服务器的副本：为报税、审计或发给代账公司而手工导出的备份，U 盘和移动硬盘，云盘同步目录，服务商升级或迁移时留下的数据，以及换下来的旧电脑。被删除的旧备份还可能残留在磁盘未分配空间里，但必须在磁盘镜像上提取，不能在原盘上直接跑恢复软件。

进销存服务器常常一机多用：数据库、软件服务端、远程桌面都在一台机器上，为了让门店和出差人员连进来，又通过路由器端口映射或内网穿透把端口暴露到公网。公开报告里，这类机器的入口主要有三类。

1. 数据库端口 1433 被爆破。 Unit 42 与 AhnLab 都记录了 Mallox（TargetCompany）对暴露的 MS SQL Server 做字典与暴力破解，拿到高权限账号后执行命令投放载荷。其同源后继 Weaxor 是近年国内感染量最高的家族之一，360 在 2026 年 4 月的态势报告中写到，它的部分版本爆破登录数据库后会先植入 AnyDesk 远控，再手动投毒。

2. 远程桌面 3389 弱口令。 同一份报告把暴力破解远程桌面口令列为 Wmansvcs、BeijingCrypt 等家族的主要传播方式。一台财务服务器共用一个管理员口令、多年不改，正是这条路的稳定来源。

3. 财务软件自身的漏洞。

• 畅捷通 T+ 被规模化利用过两轮。 2022 年 8 月 30 日，国家信息安全漏洞共享平台（CNVD）收录其任意文件上传漏洞（CNVD-2022-60632），公告称已出现用户被利用该漏洞实施勒索病毒攻击，影响 T+ 单机版 17.0 及以下且使用 IIS 10.0 以下版本的环境；安天依据后缀、赎金金额与勒索信推测所用家族为 TellYouThePass。2023 年 6 月，360 监测到 TellYouThePass 利用 6 月 8 日披露的 T+ 命令执行漏洞，在 6 月 9 日至 12 日攻击了千余台部署该系统的服务器。
• 2026 年，攻击转向服务端通信组件。 360 的 2026 年 5 月态势报告称，Sorry 家族的 Windows 版本当月主要利用 Borland Socket Server（scktsrvr.exe）漏洞传播，该组件漏洞影响国内多个行业头部厂商的中小微企业管理软件，受影响行业集中在医药、医疗器械与中小商贸。Solar 应急响应团队 2026 年 7 月以管家婆为例公开了攻击链：不提供任何凭据即可连接 211 端口，经服务端执行 SQL 语句，再借 SQL Server 的 xp_cmdshell 执行系统命令；该团队现场记录到的加密后缀有 .weax 与 .sorry。

最后这条路径值得单独强调：1433 没有对外开放、SQL Server 登录审计里也看不到异常登录，服务器照样可能中招。 判断入口不能靠排除法，要从端口映射配置、Windows 日志、软件服务端与数据库日志里找证据，这正是 溯源取证 要做的事。

按可靠程度排，大致有四条路，完整的判断逻辑见 被加密的文件还能恢复吗：

• 这台机器之外的干净备份。 结果最好。拿到后先在隔离环境试恢复，确认能打开、日期对得上，再决定用哪一份。
• 公开解密工具。 只对极少数家族与版本有效：Avast 的 Mallox 解密器只覆盖 2023 年至 2024 年初加密的文件；Weaxor、TellYouThePass、Sorry 目前都没有公开解密工具。别在这条路上耗掉时间。
• 账套文件的页级修复。 SQL Server 以 8KB 页组织数据，不少家族为了速度只加密大文件的头部或做间歇加密，未被触及的数据页仍能解析出完整记录，可以重建表结构后逐表导出到新库。但加密阈值因家族而异，体积较小的账套库可能被完整加密；有没有修复空间，必须对 .mdf 做分段熵值分析实测，不能凭文件大小推断。同一个后缀下也可能存在不同的载荷分支，判断以现场样本为准。SQL Server 场景的完整方法见 SQL Server 被勒索病毒加密。
• 外部记录补录。 备份点之后、或确实无法修复的数据，可以从电子发票与开票记录、银行流水、电商与收款平台订单、客户和供应商对账单、纸质单据中补回来。

如果用的是用友 U8 / NC、金蝶 K/3、EAS、云星空这类中大型 ERP，应用层、附件与接口也要一起恢复，请看 ERP 被勒索病毒加密。

数据库能挂起来，不等于账是对的。页级修复可能丢失少量记录，备份恢复会缺掉备份点之后的单据。建议财务与仓库一起按下面的顺序核对：

1. 确认时间边界：恢复出的账套里最后一张单据、最后一张凭证是什么时间，此后的业务全部列为待补录。
2. 库存：抽盘高价值与高频商品，核对数量与金额；负库存、成本价异常往往指向缺单。
3. 往来：应收应付余额与客户、供应商对账单逐户核对，重点看事件前几天的收付款。
4. 资金：现金与银行科目余额对银行流水，线上收款对收款平台账单。
5. 单据与凭证连续性：销售、采购、出入库单号和凭证号有无断号、重号。
6. 期间状态：月结、年结与报税期间是否与实际一致，避免在错误期间补录。

补录时先补基础资料和期初，再按时间顺序补业务单据；零售版本的会员储值与积分余额要单独核对。所有缺口与处理方式留档，便于之后审计和报税时说明。

• 端口不直接暴露。 211、1433、3389 以及 T+ 的 Web 端口都不做公网映射；门店与出差人员改走 VPN，并限制来源地址。
• 补丁与组件跟上厂商。 通过厂商或授权服务商确认财务软件、服务端组件与 Web 端有没有安全更新；畅捷通 T+ 这类有在野利用记录的产品尤其要跟进。
• 数据库与系统口令。 sa、Windows 管理员与软件后台口令全部换成强口令且互不相同，不需要的 xp_cmdshell 保持关闭，日常连接不用 sa。
• 备份至少一份离线。 保留软件自动备份的同时，定期拷贝到用完即断开的移动硬盘或异地存储，并定期真正恢复一次账套来验证。
• 专机专用。 财务服务器不用来上网、收文件，不装来路不明的软件和未经批准的远控。
• 盯住加密前的信号。 SQL Server 服务被停止、卷影副本被删、出现陌生管理员账号或新装的远控软件，都要当成紧急情况处理。

如果这已经不是第一次中招，先读 为什么反复中勒索病毒；系统性整改可以交给 安全加固。