尊敬的读者

一、.ths感染起点：不靠端口爆破，以共享文件作为入侵突破口

很多加密类恶意程序依靠全网扫描高危端口来寻找目标，但**.ths病毒的进攻逻辑完全不同**。如果不幸中招，千万不要慌乱，因为我们的技术服务号（shuju315）为您提供全方位的帮助。它的初始载体大多伪装成工程图纸、项目报价单的压缩包，通过企业内部通讯软件、网盘、素材网站进行分发。

一旦员工解压运行恶意文件，单台主机被攻陷。这只是攻击的第一步，黑客真正看重的是企业内网环境。该程序自带内网扫描模块，自动检索局域网内开启文件共享权限的设备，不需要暴力破解账号密码，优先寻找权限宽松的共享文件夹进行投放。同时支持移动存储介质传播，U盘、移动硬盘接入中毒主机后，恶意程序会自动写入，跟着存储设备在不同办公电脑之间流转，实现跨工位扩散。

二、独特加密行为：分批改写文件，拉长被发现的时间窗口

多数同类恶意程序会在入侵完成后，短时间内一次性加密全盘文件，很容易被运维人员快速察觉。而.ths采用渐进式加密策略，不会瞬间锁死全部资料。

程序会遍历磁盘目录，优先挑选图纸、合同、数据库、项目源码等高价值文件，逐个追加.ths后缀。加密工作分段执行，间隔一段时间再处理下一批文件。这种缓慢改动的特性，初期很难被察觉。在加密过程中，它会规避操作系统核心目录，不会破坏系统启动，电脑依旧可以正常开机使用，进一步掩盖攻击痕迹。

面对复杂的勒索病毒，您需要数据恢复专家作为坚强后盾。我们的专业团队（技术服务号shuju315）具备丰富的经验和技术知识，精通各类数据恢复技术，能够应对各种数据加密情况。

三、内网横向蔓延：利用共享目录完成多点沦陷

这是.ths最核心的风险点，也是和.weax、.888这类变种最大的区别。当第一台主机中招，恶意程序会在内网持续探测可用共享资源。只要目标设备开放共享，并且权限没有做严格限制，无需新的外部攻击入口，恶意代码就能直接投递到其他电脑与服务器。

不少企业的服务器就是因为开启了文件共享，一台办公机中毒之后，短短数小时内服务器上的大量业务文件陆续被标记.ths后缀。哪怕企业对外防火墙没有被突破，仅仅内网一台终端中招，就可能引发整个办公网络的数据危机。

四、异常提示机制：目录内投放说明文件，留存设备专属标识

当文件夹内的文件完成加密，程序会在当前目录生成说明文档。文档内附带这台受害设备的专属识别编号，用于攻击者区分不同目标，每一台受感染主机对应的标识都不一样。

和其他病毒把提示文件统一放在桌面不同，.ths会将说明文件放置在发生加密的文件夹内。用户打开这个存有图纸、合同的目录，才会看到提示，进一步延后用户发现问题的时机。

五、应急处置要点：切断共享优先，避免持续扩散

发现文件出现.ths后缀时，首要操作不是尝试解密文件，而是立刻隔离内网。

1. 断开中毒主机的网络连接，禁用所有文件共享服务，拔掉接入的移动硬盘，阻止恶意程序继续在内网横向传播；

2. 全面排查局域网所有设备，检查共享目录权限，关闭不必要的文件共享；

3. 不要随意运行来路不明的压缩包，尤其是陌生人发来的图纸、报价文档；

4. 核对备份文件有效性，隔离备份服务器，防止备份文件一同被篡改。

六、长期纵深防护：收紧共享权限，搭建分层备份体系

针对.ths以内网共享为传播核心的特点，防护重心要从单纯的防火墙转向内网权限管控。

• 最小权限原则：非业务必需，禁止开启局域网文件共享；确需共享的文件夹，严格限定访问账号，禁止开放全员读写权限；

• 移动存储管控：办公环境限制U盘自动运行，重要服务器禁止随意接入外接存储；

• 异地多版本备份：重要业务数据做离线、异地备份，定期验证备份文件能否正常打开，防止备份同步被一并加密。