从真实遭遇到落地操作的细节复盘

lizongnan

　　遭遇初期的应急止损动作

　　2023年6月我身边一家做跨境电商的小团队，服务器突然弹出.weax后缀的加密提示，所有订单数据、产品文档都被锁了。当时团队负责人第一反应是慌，但后来想起之前听过的应急建议，立刻让IT断了服务器的所有网线，拔了核心交换机的对应端口线，同时关闭了所有共享文件夹和远程桌面权限，避免病毒扩散到员工本地电脑。他们还把感染的服务器硬盘拆下来，用离线硬盘拷贝了一份感染前1小时的系统镜像，没敢在原服务器上乱操作，这一步为后续恢复保住了基础数据。ths勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　专业工具的精准扫描与分析

　　一开始有人想找网上的通用解密工具，但后来咨询了安全圈的朋友，才知道Weax勒索病毒的加密特征是AES-256算法，专属密钥，通用工具没用。于是他们把3个不同类型的加密样本（文档、图片、数据库）传到国内某安全实验室的在线沙箱，花了2小时分析出病毒的传播渠道是未打补丁的SMB漏洞，还有对应的专用解密工具链接。这里要注意，绝对不能用非正规渠道的工具，不然会导致数据彻底销毁，当时团队就差点踩这个坑。

　　数据恢复的核心步骤拆解

　　他们选了一台全新的虚拟机，装了和原服务器一样的Windows Server 2019系统，把之前拷贝的感染前系统镜像挂载为虚拟硬盘，再挂上安全实验室提供的Weax解密工具，全程断开虚拟机的外网，只在工具需要校验密钥时临时联网10分钟。解密过程花了11小时，中间每2小时就核对一次已恢复的文件数量，发现有20个文件损坏，就暂停解密，把损坏的文件样本单独打包发给实验室技术人员，确认是加密时的碎片残留问题，后续补了对应修复包。

　　恢复后的文件验证与补全

　　解密完成后，团队花了半天时间逐个验证文件：打开了所有订单PDF，测试了MySQL数据库的导入导出，播放了产品宣传视频，发现3个视频文件有花屏，于是找了本地一家专业数据修复团队，用文件碎片重组工具把损坏视频的关键片段拼了回来，基本恢复了98%的有效数据。之后他们还给服务器打了所有高危补丁，关闭了SMB 1.0端口，限制了员工的U盘使用权限，避免再次中招。

　　可复制的日常防护前置动作

　　这次事件后，团队把应急动作整理成了可落地的规范：每周做一次全量离线备份，备份盘物理隔离，平时不插在服务器上；每月做一次勒索病毒应急演练，让IT熟悉断网、拷贝镜像的流程；员工培训时特意强调，陌生邮件的附件绝对不点开，来历不明的U盘只在测试机上使用。现在他们的服务器还加了入侵检测系统，能实时监控异常的文件加密动作，提前预警，后续没再出现类似风险。