普通人也能上手的应急与修复指南

lizongnan

　　先做应急隔离，阻断病毒扩散

　　前几年我朋友小张的公司就中了WannaCry，当时财务电脑先弹出勒索信，他没当回事还点了陌生弹窗，结果不到半小时，整个部门的共享文件夹全被加密了。后来才知道，第一步必须立刻断开所有网络，拔掉网线、关闭WiFi，还要关掉电脑里的文件共享功能——这一步能避免病毒从单台电脑蔓延到服务器或者其他同事的设备，小张当时就是没做隔离，导致公司损失了近十万的客户数据修复费，这个教训真的很深刻。勒索病毒解密https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　排查加密痕迹，确认感染范围

　　做完隔离别慌，先检查所有文件的后缀名，WannaCry加密后的文件一般会加上.wncry后缀，桌面还会出现名为“@Please_Read_Me@.txt”的勒索信。再打开任务管理器，看看有没有陌生的异常进程，比如mssecsvc.exe之类的，如果有，大概率就是病毒在运行。我同事小周当时中了毒，他先查了自己的文档和照片，发现只有C盘桌面和文档被加密，D盘的资料还完好，这样就能缩小修复范围，不用乱折腾所有磁盘。

　　用免费工具尝试系统卷影副本恢复

　　如果是Windows系统，大概率开启过系统还原功能，这会生成卷影副本，里面存了之前的文件版本，没被病毒删除的话，就能用免费工具找回。我给小周推荐了ShadowExplorer，这是个开源工具，操作很简单：打开工具后选中自己的系统磁盘，找到“Previous Versions”选项，就能看到各个时间点的文件备份，他选了中毒前一天的版本，把需要的旅行照片和工作文档都恢复了，一共找回了近80%的个人数据，没花一分钱，这个方法真的适合普通用户。

　　联系专业机构的时机与注意事项

　　如果是公司的重要数据，比如财务报表、客户资料，自己用工具没找回的话，就别瞎折腾了，赶紧找专业的数据恢复机构。我表姐的公司去年中了毒，自己尝试了各种工具都没用，后来找了本地一家有资质的恢复中心，签了保密协议，花了两千多，成功恢复了所有客户资料。注意别找网上的黑产，不仅收费贵，还可能泄露数据，一定要选有营业执照和数据恢复资质的机构，问清成功率再决定。

　　事后加固，避免再次中招

　　WannaCry是利用永恒之蓝漏洞传播的，微软早就出了补丁，所以首先要给系统打全所有安全补丁，关闭电脑的445端口（这是病毒入侵的主要通道），还要开系统防火墙，定期用杀毒软件全盘查杀病毒。另外，重要数据一定要定期备份，别嫌麻烦，外接硬盘或者靠谱的云备份都可以，毕竟备份才是最稳妥的办法，能从根源上避免勒索病毒的损失。