图2. 勒索软件支持通过参数指定工作方式

表1. 样本执行参数说明

1.环境检测

                                                                                         

2.密钥生成

图10. 通过AES算法加密ChaCha20密钥

3.文件加密

• 不加密文件扩展名（系统/UI/安装类）

• 加密的文件扩展名

图14. 附件数据结构示意图

4.收尾工作

图16. 加密后生成的rox.txt文件内容

03 安全防护建议

• 禁用弱口令与暴力破解防护
  严格执行强密码策略，并配置SSH登录限制，建议禁用root直接远程登录，改用非特权用户登录后通过sudo提权。

• 部署多因素认证（MFA）
  针对所有远程访问接口（如SSH、VPN、远程桌面等）强制启用多因素认证，防止凭据泄露导致的非法入侵。

• 及时修补漏洞
  重点排查Web应用（如Tomcat、WebLogic、Nginx等）及数据库系统的已知高危漏洞，确保补丁及时更新。

• 最小权限原则
  严格限制Web服务及其他中间件的运行权限，避免因服务漏洞导致攻击者获取系统最高权限。

• 部署EDR/XDR防护
  在服务器端部署终端检测与响应（EDR）系统，重点监控异常进程启动、敏感文件批量读写、加密API调用等行为，实现对勒索行为的实时阻断。

• 日志审计与流量分析
  开启关键系统的审计日志，并结合流量分析工具监控内网横向移动行为，一旦发现异常连接或扫描行为，立即触发应急响应流程。