亲测有效步骤，附真实案例

lizongnan

　　一、先快速识别这四类勒索病毒的核心特征舍末无勒,勒索病毒解密专家https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　我这半年接触过不下20起这类勒索攻击，888后缀的基本是LockBit 3.0变种，加密后会生成readme.txt的勒索信；Rox后缀的是近期新出现的变种，会修改文件图标，比如把PDF改成带Rox图标的文件，勒索信是.rtf格式；Wor后缀的主要针对企业服务器，会加密共享盘里的业务数据，弹窗里会明确标Wor字样。区分错变种很容易搞错恢复方向，之前有个小型加工厂把Wor当成LockBit处理，浪费了3天时间。

　　二、第一时间断网隔离，阻止扩散

　　不管电脑还是服务器，中招后第一件事拔网线，关掉所有共享文件夹和RDP远程桌面。上周帮杭州某电商客服公司处理LockBit攻击，客户一开始没断网，结果从2台客服电脑扩散到12台服务器，数据全加密了，后来花了2天才恢复。断网后还要把中毒的设备和正常设备物理隔离，别用U盘交叉传输文件。

　　三、亲测有效的数据恢复方法（别乱付费）

　　我亲测过最有效的是查卷影副本，用ShadowExplorer工具就能看，很多企业默认开了系统保护，之前有个广告公司的888后缀勒索攻击，卷影副本里有3天前的完整备份，恢复后数据全好，没花一分钱。如果没有副本，别信网上的解密工具，大部分是挂马的，之前有个客户付了5个比特币，对方只给了半个解密工具，还被勒索更多，后来找我用专业数据恢复工具找回了70%的业务数据。

　　四、事后防护的关键细节，避免再中招

　　针对这四类变种，重点要做三点：一是定期做离线备份，比如每天把核心数据拷到移动硬盘，断开连接；二是关闭不必要的端口，比如3389（RDP），如果必须用，要改复杂密码加二次验证；三是别点陌生邮件的附件，LockBit很多是靠钓鱼邮件传播的。之前有个科技公司没关3389，密码是123456，被Wor变种攻击，损失了20万的项目数据。

　　五、别踩这两个自救误区

　　第一个误区是格式化硬盘，很多人以为格式化能清病毒，其实病毒已经加密了主引导区，格式化后数据找不回；第二个误区是找黑客解密，我接触过3个客户找黑客，不仅没解密，还被偷了银行卡信息。遇到这类攻击，先联系专业数据恢复机构，别自己瞎操作。