别踩支付陷阱，学会正确应对才是关键

lizongnan

　　先确认是不是真的Rox勒索病毒

　　我朋友小李的外贸公司去年3月就中招了Rox勒索病毒，当时他所有电脑里的文档、表格后缀都变成了.rox，桌面弹出的黑色窗口和勒索信里写着，要付5个比特币才能解锁文件。其实识别这个病毒很简单：一是看加密后缀是否为.rox，二是桌面有没有名为READ_THIS或类似名称的勒索信，信里会明确要虚拟货币支付。小李当时一开始慌了，差点就准备转钱，还好做IT的朋友提醒先确认，才没踩坑。勒索病毒恢复https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　乱付赎金的坑到底有多大

　　很多人中招后第一反应是付赎金，但这是最危险的做法。我见过隔壁一家广告公司，付了8个比特币，结果黑客只给了部分文件的密钥，剩下的加密文件再也打不开，后续还被黑客盯上，又发动了两次攻击，最后找安全公司花了60万才恢复。虚拟货币匿名性太强，付了赎金基本追不回来，而且黑客会觉得你好欺负，大概率还会再次勒索。

　　官方正规恢复渠道怎么找

　　正规恢复不用找黑客，国内有很多官方和安全厂商的免费渠道。比如CNCERT官网会定期更新各类勒索病毒的解密工具，Rox的解密工具早就上线了；腾讯安全、360安全大脑的应急平台，只要提交加密文件样本，就能帮你匹配对应的密钥。小李的公司后来就是提交了几个.rox文件到腾讯安全平台，不到一周就拿到了解密工具，两天就把所有文件恢复了，一分钱没花。

　　平时该做的防护准备

　　防护比恢复更重要，我给小李公司提的建议现在还在用。首先要遵循3-2-1备份原则：3份数据，2种介质，1份离线。小李公司之前只有内网备份，后来改成了本地移动硬盘和阿里云备份，移动硬盘平时都拔下来，不连内网；另外关掉Office的宏功能，不要点陌生邮件附件，更不要下破解软件。他们之前就是点了客户发的带宏的Excel才中招的，现在所有附件都先经过病毒扫描。

　　中招后第一时间该做的事

　　要是真的中招了，别慌，按步骤来：第一时间断开所有网络，拔掉网线，关掉WiFi，防止病毒扩散到其他设备；不要重启电脑，不要删除加密文件，也不要格式化硬盘，这些操作会破坏恢复的可能；然后联系当地网安支队或者正规安全厂商，不要碰勒索信里的任何链接，更不要付赎金。小李当时第一时间拔了服务器网线，后来才顺利恢复，没让损失扩大。