SQL Server 数据库被勒索病毒加密

SQL Server 是国内 ERP 与进销存系统最常见的后端。它被加密时，损失不只是数据库文件——账套、附件、报表模板、单据流水往往分布在多个位置，恢复范围需要按业务而不是按文件来界定。

针对 SQL Server 的攻击路径也很有特点。据公开报告，Mallox（亦称 TargetCompany）系列家族长期把暴露在公网的 MS-SQL 实例作为主要入口，通过字典与暴力破解拿到 sa 或高权限账号，再用命令行、PowerShell 下载载荷；其 2024 年后改名出现的 Weaxor 延续了同一目标群体，且在 360 发布的 2025 年国内态势报告中位列处置量前三。同期还有家族通过 RDP 弱口令直接登录数据库服务器，或利用前端 ERP 的文件上传与命令执行漏洞落地。这些路径的共同点是：攻击者进来时就带着管理员权限，因此会先停 SQL 服务、删卷影、清日志，再加密。

高频误操作，按危害排序：

• 反复启动 SQL Server 服务或对可疑库执行 DBCC 修复命令。 引擎会对损坏文件继续写入、尝试回滚，把可提取的页破坏掉。任何修复动作都应该在副本上做。
• 直接 detach 后重新 attach、或用 EMERGENCY 模式强行拉库。 在加密文件上执行，通常只会让文件状态更糟。
• 把被加密的 .bak 还原到生产库，或把 ERP 重装到原目录覆盖残留文件。
• 在原分区上跑数据恢复软件并写回同一盘。
• 运行攻击者的解密器。已有大量案例显示解密不完整，同时留下后门与持久化。

我们不建议支付赎金，也不提供代谈判服务。

• 不要把 1433 端口映射到公网。 这是 MS-SQL 类勒索事件最主要的入口。确需外部访问时，走 VPN 或反向代理并限制源 IP，绝不裸奔。
• 强化 SQL 身份认证。 禁用或重命名 sa、为所有登录设强口令、优先使用 Windows 身份验证、开启登录失败审计与锁定策略；应用连接串使用专用最小权限账号，不用 sysadmin。
• 关闭高危扩展与代理面。 禁用 xp_cmdshell、OLE Automation、Ad Hoc 分布式查询；限制 SQL Server 服务账号权限，不要用本地 System 或域管理员运行。
• 备份策略要能抗勒索。 完整备份 + 事务日志备份，备份落地到独立主机或不可变存储，备份目录不通过 SMB 共享给生产网；保留一份离线副本。
• 定期做还原演练。 每季度抽一个账套做完整还原并计时，验证备份链与日志链真的能用。
• EDR 必须覆盖数据库服务器，开启防篡改与卷影保护；监控「SQL 服务被停止」「vssadmin delete shadows」「wevtutil cl」这类前置行为并告警。
• 前端 ERP 同步治理。 用友、金蝶及其配套的中间件、Web 组件要跟上补丁，关闭不必要的对外接口；据公开报告，已有家族通过国产财务软件的文件上传与命令执行漏洞规模化投放勒索病毒。
• 网络分段。 数据库网段只对应用服务器开放必要端口，办公终端不可直达；运维通道集中到堡垒机并开启多因素认证。