Weaxor勒索病毒是一种恶意软件，它通过加密受害者的文件来进行勒索。这种病毒通常会感染计算机系统，加密用户的重要数据文件，并要求支付赎金以获取解密密钥。Weaxor勒索病毒的加密算法强度较高，使得解密文件变得非常困难。加密的后缀.rox，勒索信名字为RECOVERY INFO.txt。

• 代码语言与样本形态：Weaxor 的公开技术披露较少，暂未见权威报告确认其开发语言、编译器特征、加壳器、互斥体名称或稳定的 PE 元数据。已知文件加密后缀为 .rox，勒索信文件名为 RECOVERY INFO.txt。
• 文件处理特征：其核心行为是遍历本地或可访问路径中的用户数据文件并改写为加密状态。是否采用目录白名单/黑名单、是否跳过系统目录、程序目录、浏览器缓存、数据库临时文件等，暂无公开信息。也未见公开资料确认其是否加密网络共享、可移动磁盘或远程挂载卷。
• 持久化与权限提升：暂无公开信息表明该家族具有固定持久化机制，如注册表 Run 键、计划任务、服务安装、启动目录写入等。也暂无公开信息确认其是否内置 UAC 绕过、令牌窃取或本地提权模块。
• 规避与破坏恢复：现代勒索软件常见做法包括终止数据库/备份/办公软件进程、删除卷影副本、清理事件日志、禁用恢复服务等，但 Weaxor 是否具备这些能力暂无公开可验证信息。
• 网络与 C2：暂无公开情报确认其 C2 协议、固定域名、IP、Tor 洋葱地址、加密握手方式或受害者登记接口。若勒索信中包含联系渠道，也应以样本实物为准，避免将单个样本中的地址泛化为家族级基础设施。
• 取证关注点：应重点收集原始样本、加密前后文件对、RECOVERY INFO.txt、进程树、注册表变更、计划任务、服务列表、卷影副本状态、网络连接记录以及终端安全日志，用于确认其真实 TTPs。

• 初始访问：暂无公开信息确认 Weaxor 的主要入侵入口。可疑场景包括钓鱼附件或链接（T1566）、被盗账号登录远程服务（T1078）、暴露的远程桌面服务（T1021.001）以及第三方下载器投递，但这些仅为勒索攻击常见路径，不能直接归因于该家族。
• 运行阶段：样本一旦在主机上启动，核心目标通常是发现可加密文件并批量处理。对应 ATT&CK 可映射到用户文件发现（T1083）、系统信息发现（T1082）和进程/服务发现（T1057），但 Weaxor 是否完整实现这些发现动作暂无公开确认。
• 持久化：暂无公开信息证明其固定使用注册表 Run 键（T1060/T1547.001）、计划任务（T1053.005）或 Windows 服务（T1543.003）。多数勒索软件并不一定依赖长期持久化，而是追求一次性快速加密。
• 防御规避：尚无公开资料确认其是否具备加壳、混淆、关闭安全工具、日志清理或删除备份能力。若存在删除卷影副本行为，可对应抑制系统恢复（T1490）；但针对 Weaxor目前应标记为暂无公开信息。
• 横向移动：暂无公开信息显示该家族自带 SMB、RDP、PsExec、WMI 或域凭据滥用能力。若在企业环境出现多主机感染，应优先排查被盗域账号、远程管理工具滥用和共享目录传播。
• 加密勒索：确认行为是数据加密影响可用性，追加 .rox 后缀，并释放 RECOVERY INFO.txt 勒索信。ATT&CK 可映射到数据加密影响（T1486）和可能的恢复抑制（T1490，待证）。目前暂无公开信息证明其存在双重勒索、数据窃取站点或泄露倒计时机制。