Vexy 勒索病毒解密与数据恢复

Vexy 于 2026 年 9 月初首次出现在暗网。ransomware.live 与 RansomLook 自 9 月 3 日起收录其泄露站，最早受害者的攻击日期记作 9 月 2 日，到 9 月 11 日各追踪平台收录的受害者在 10 至 12 家之间（统计口径略有差异）。受害者集中在印度（IT 服务、云主机与托管、制造与零售），其余分布在巴西、阿根廷、墨西哥、厄瓜多尔等美洲国家，暂无中国大陆企业的公开记录。

需要提醒的是，该家族公开信息非常有限：截至 2026-09-11，没有主流安全厂商或 CERT 发布过 Vexy 的样本分析与 IOC；中文圈流传的「Rust 跨平台加密器、附属入门费」只见于中文自媒体的转述性报道，没有任何厂商分析或样本可佐证，我们无法核实，本页不予采信。可确认的只有：独立 Tor 泄露站（域名以 vexy 开头，各平台记录的在线率差异较大）、Tox 联络渠道，以及「未联系即公开全部数据」的施压措辞——追踪平台普遍将其描述为先窃取数据、再施压的类型。本页将随公开情报更新。

Vexy 没有已公开记录的加密后缀与勒索信文件名，无法靠后缀比对识别，目前只能从勒索侧判断：企业名出现在以 vexy 开头的 .onion 泄露站帖子中，帖文通常附企业简介、攻击者声称的数据量与样本包；联络要求走 Tox 而非邮件，措辞强调「未联系则公开全部数据」，不提解密服务。

若环境中同时出现文件被加密，请保留 3–5 个加密样本与勒索信原件——这属于一手情报，须经逆向与样本比对确认，切勿仅凭「新家族」标签对号入座，错误归因会直接导致错误的恢复方案。

没有公开报告披露 Vexy 的初始访问与横向移动方式。以下是基于受害者画像（中小型 IT 服务商、托管与云主机商、制造企业）的排查优先级建议，而非已证实的攻击链：

• 无多因素认证的 VPN、RDP、堡垒机等公网远程入口，以及边界设备的已知漏洞；
• 托管与供应链方向的横向渗透（多家受害者本身即 IT／托管服务商，客户环境需同步排查）；
• 信息窃取木马泄露的凭据与被转售的初始访问权限。

在公开样本分析出现前，建议按「入口未知」处理，以全量日志回溯确认真实路径。

是否真正加密数据，目前未被公开证实。 追踪平台标注不一致：WatchGuard 同时列出 direct extortion 与 double extortion，其余平台则描述为「先窃数据、后施压」，泄露站帖文也只谈公开数据、不谈解密。

因此两种情形都要准备：仅窃密时，重点是泄露范围界定、合规通报与凭据轮换；一旦确有加密，算法、是否间歇加密、卷影是否被删除、虚拟化是否受影响都须以实测样本为准，不能套用其他家族的结论。