上海威丽信息科技有限公司 · 企业 IT 运维服务专题

图：核心业务系统勒索防护专题

10 月 18 日 20 时 36 分，某企业用友 BIP 高级版主服务器在 1 分钟内被批量加密，150,411 个文件被追加 .rox 后缀，业务随即中断。事后溯源显示，入侵早在 40 小时前就已开始：攻击者从一个对外暴露的业务接口进入，分三轮落地后门，最后才投放加密器并清除日志。对运行 ERP、财务共享、协同办公这类核心系统的上海企业来说，真正要回答的不是"补丁打没打"，而是"这台机器为什么开在公网上，以及出事之后能不能回到昨天"。

现状：先摸到门，再决定要不要加密

本次事件的定性来自应急响应团队 10 月 27 日发布的溯源报告。入口是用友 BIP 高级版的一个监控类接口，服务端对请求体直接做 Java 原生反序列化处理，攻击者无需任何账号即可触发并执行命令。该问题目前没有 CVE 编号，也未检索到公开的可利用细节，受影响版本与补丁状态需以厂商核实结果为准。

比漏洞本身更值得企业注意的，是攻击节奏。10 月 17 日凌晨先做试探并落地一枚明文通信的后门，10 月 18 日上午换成加密通信版本，当晚 20 时 34 分换了另一套基础设施再次利用同一入口，2 分钟后加密器落地执行，20 时 36 分 53 秒安全日志被清除。从试探到加密约 40 小时，攻击者没有破解任何加密算法，用的全是系统自己给的权限。

图1：同一入口、三轮利用、两套基础设施的 40 小时时间线

四类典型痛点与解决思路

痛点一：核心系统为了方便，直接开在公网上

ERP、财务与协同办公系统早年为了支持异地办公和移动审批，常把 Web 端口直接映射到公网，靠一套账号密码守着。一旦接口层出现未授权访问问题，这层防护就等于不存在。

解决思路：先做一张"对外暴露清单"，把每个公网映射的业务系统、开放端口、访问来源逐项登记，只保留业务确实需要的入口，其余改走 VPN 或零信任网关，并对来源做白名单。

痛点二：出事之后，日志不足以还原过程

本次现场最棘手的地方在于：没有安全设备，没有中间件访问日志，应用日志只记录异常堆栈，不记录请求地址、来源 IP 与请求体。溯源只能把异常时间点与应用日志、系统事件日志逐条对齐，靠时间戳硬拼出过程。

解决思路：把日志当基础设施来建。应用、中间件、系统层日志统一外发到独立采集端，保留不少于六个月；关键主机开启脚本块日志。日志和现场存在同一台机器上，等于把证据一起交给攻击者。

痛点三：删掉后门文件，问题并没有解决

本轮攻击落地的是 JSP 后门，但后门会通过自定义类加载器把服务注册进内存。只删除磁盘文件，重启之前内存里那条路由依然可以被访问。

解决思路：处置顺序必须是先隔离、再取证、后清理。清理时同步检查内存中注册的路由、异常计划任务、新增账号与新增服务，最后重启应用复查，并更换相关服务账户与主机口令。

痛点四：备份存在，但没验证过能不能恢复

国家计算机病毒应急处理中心在 10 月 22 日的提示中明确，该家族加密的数据在没有密钥的条件下暂时没有可靠恢复方法，网络上流传的"解密工具"本身可能带来二次感染。这意味着恢复能力只能来自备份，而备份的可信度只能来自演练。

解决思路：备份做三件事——保留多份、至少一份离线或不可变、定期做真实恢复演练。加密器会优先寻找可写的网络共享与备份目录，因此备份账号必须与被保护主机使用不同凭据。

图2：核心业务系统勒索防护的四步落地路径

两种防护思路对比

威丽核心业务系统防护服务清单

• 暴露面测绘：清点公网映射系统、开放端口与访问来源，输出收敛清单与整改顺序；
• 边界加固：零信任网关或 VPN 接入、来源白名单、管理接口与业务入口分离；
• 日志与集中监控：应用、中间件、系统日志统一外发，接入集中告警与月度巡检；
• 补丁与版本管理：跟踪核心系统版本公告，按业务窗口安排升级与回滚预案；
• 备份与恢复演练：设计备份策略、隔离备份账号，每半年做一次真实恢复演练并留存记录；
• 应急响应：隔离、取证、清理、复查的现场处置，以 10 分钟极速响应、2 小时现场服务的标准执行。

三个常见误区

1. "内网系统不用管"：本轮被加密的是互联网暴露的实例，但内网系统一旦被当成跳板，损失同样落在核心数据上；
2. "补丁打完就安全了"：补丁只封住已知入口，暴露面、弱口令与配置问题依然在；
3. "删掉可疑文件就恢复了"：内存驻留与持久化项不清，重启后可能再次上线。

高频问题解答

问：我们没用用友 BIP，这次事件和我无关吗？
答：入口是具体产品，风险模式却是通用的——任何对公网开放、又对请求体做反序列化处理的业务接口都可能存在同类问题。建议借此机会盘一次暴露面。

问：怎么判断自家系统是否已经被入侵？
答：看三类痕迹：应用日志在非常规时间的异常堆栈、系统日志中的脚本执行记录、业务目录下新增的可执行脚本文件。发现疑似痕迹，先保全现场再动手处置。

问：备份放在 NAS 上够不够？
答：不够。加密器会主动寻找可写的网络共享。至少一份备份要离线保存或开启不可变保护，并使用与被保护主机不同的凭据。

结语

勒索攻击的落脚点从来不是"哪个漏洞"，而是"哪台机器还开着门、出事之后能不能回来"。上海威丽信息科技有限公司深耕本地企业 IT 运维近 20 年，累计服务 2500 余家企业，为上海及周边企业提供暴露面收敛、集中监控、补丁管理、备份恢复演练与应急响应服务，以 10 分钟极速响应、2 小时现场服务的标准，把核心业务系统的风险管在日常。若您需要排查 ERP 与财务系统的对外暴露情况，或安排一次恢复演练，欢迎联系威丽。

上海威丽信息科技有限公司
服务热线：400-880-7581 ｜ 技术热线：021-51697581
官网：https://www.vilitech.com

数据来源说明

• Solar 应急响应团队：用友 BIP 高级版接口反序列化漏洞被 weaxor 勒索家族利用的溯源报告（2026-10-27）
• 国家计算机病毒应急处理中心：关于 Weaxor 勒索病毒的提示（2026-10-22）
• 用友网络公开资料：用友 BIP 客户规模与行业覆盖情况（2024-2026）