案例拆解 手把手教你应对数据被锁困境

lizongnan

　　先做紧急隔离，切断病毒扩散路径

　　我上周接触到一家本地小电商的求助，他们公司服务器的共享盘突然被锁，员工刚点了陌生邮件里的链接。第一时间我让他们拔掉服务器网线，关闭所有共享文件夹的权限，同时断开员工电脑的外网连接。这一步很关键，舍末无勒病毒会通过局域网快速传播，晚一步可能整个公司的设备都会被加密。很多人遇到第一反应是打开文件看，结果反而让病毒扩散。sorry勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　确认病毒类型，别用错解密工具

　　舍末无勒勒索病毒有专属特征：加密后的文件后缀会变成.smwl，勒索信的文件名是README_SHEMOWL.txt，内容里会要求支付比特币。之前有个设计公司误把其他勒索病毒当成舍末无勒，用错工具导致数据二次损坏。判断时可以找几个加密文件，看后缀和勒索信内容，确认是舍末无勒后再找对应工具。

　　官方解密工具的正确使用步骤

　　目前舍末无勒有公开的解密工具，来源是安全厂商和公益解密平台NoMoreRansom。我朋友的个人电脑去年中过，当时是先把加密文件复制到移动硬盘备份，再下载对应版本的解密工具，扫描后等待约20分钟，大部分照片和文档都成功解密。注意别用第三方破解工具，容易带新病毒。

　　从备份恢复数据，是最稳妥的选择

　　如果没找到对应解密工具，就从备份恢复。某教育机构上个月中了舍末无勒，他们有每周更新的云端备份，虽然只有3天的增量数据，但课件、学生档案这些核心内容都找回来了。建议大家平时做双备份：本地硬盘+云端，重要文件每天同步一次，别嫌麻烦，真出事了比什么都管用。

　　事后防护，避免再次中招

　　舍末无勒多通过钓鱼邮件、恶意链接传播，之前的小电商后来给员工做了3次钓鱼链接识别培训，给服务器装了企业版杀毒软件，每周更新系统补丁，至今没再出现类似问题。个人用户要别点陌生邮件附件，别下载非官方软件，定期更新系统漏洞，能避开大部分勒索病毒。