ERP 系统被勒索病毒加密

ERP 是企业运营的中枢，被加密时损失的不只是数据，还有业务流程本身：无法开票、无法发货、无法出入库、无法对账，停机每延长一天，损失是复利式增长的。

理解入口很重要。国产 ERP 的暴露面相当特殊：应用往往同时对内网和互联网开放、跑在 Windows 服务器上、数据库与应用同机部署、且版本升级滞后。据公开报告，TellYouThePass 家族曾利用国产财务管理软件的高危漏洞规模化投放勒索病毒——畅捷通 T+ 先后两轮被规模化利用：2022 年 8 月，国家信息安全漏洞共享平台收录其任意文件上传漏洞（CNVD-2022-60632）并通报已有用户被据此投放勒索病毒，安天推测所用家族为 TellYouThePass；2023 年 6 月，360 监测到 TellYouThePass 利用 6 月 8 日披露的 T+ 命令执行漏洞，6 月 9 日至 12 日间有千余台部署该系统的服务器受到攻击。此外，用友 NC 的 BeanShell 远程代码执行漏洞（CNVD-2021-30167）等历史高危漏洞也长期被扫描利用。另一类常见入口是数据库侧：公网暴露的 MS-SQL 实例被 Mallox / Weaxor 谱系暴力破解。

ERP 场景必须按四层资产清点，漏掉任何一层都会导致「数据库恢复了但系统还是跑不起来」：

常见误操作：在原目录重装 ERP、把被加密的账套备份还原覆盖、反复启动数据库服务、清理加密文件腾空间、未清源就恢复上线导致二次加密。我们不建议支付赎金，也不提供代谈判服务。

• ERP 不要直接发布到公网。 确需外网访问时通过 VPN 或带认证的应用网关，并限制来源 IP；Web 端口不要直接映射。据公开报告，国产财务管理软件的高危漏洞曾被勒索家族用于规模性投放。
• ERP 与中间件跟进补丁。 建立版本台账，关注厂商安全公告与 CNVD / CNNVD 通报；用友、金蝶、鼎捷等系统及其依赖的中间件、Web 组件都要纳入补丁范围，不要因为「怕影响业务」长期不升级。
• 应用与数据库分离部署。 不要把 ERP 应用与 SQL Server 装在同一台机器上，数据库端口不对外，数据库账号最小权限、禁用 sa 弱口令与 xp_cmdshell。
• 上传目录禁止执行。 IIS / Tomcat 中对附件与上传路径关闭脚本解析，定期扫描站点目录的新增可执行文件（webshell 检测）。
• 备份覆盖四层，不只是数据库。 账套全备 + 日志备份、附件目录、应用配置与二次开发源码、许可证与注册信息都要备份，并至少保留一份离线或不可变副本。
• 保存「重建包」。 ERP 安装介质、版本补丁、许可证与加密狗信息、个性化开发源码与部署文档离线留存一份，能在恢复时节省大量时间。
• 做还原演练。 每半年在隔离环境完整恢复一个账套并让财务实际操作验证，确认备份链与应用环境都真的可用。
• EDR 覆盖 ERP 与数据库服务器，监控异常文件写入站点目录、数据库服务被停止、卷影删除等前置行为。