理清可行度，避开恢复路上的那些坑

lizongnan

　　LockBit加密的核心特征，要知道这些才谈恢复888勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　LockBit是当前全球最活跃的勒索软件之一，它加密文件后会添加.lockbit后缀，还会主动删除Windows系统的卷影副本、备份文件，防止用户用系统自带工具恢复。去年珠三角一家小型机械加工厂中招，300多G的生产图纸、工单全被加密，当时有人在贴吧说有“万能解密器”，工厂负责人差点点进去，后来被懂行的朋友拦住，才没踩坑。

　　当前数据恢复的两种可行路径

　　目前针对LockBit的恢复，主要靠两种靠谱方式。第一种是正规安全厂商推出的解密工具，比如Emsisoft、卡巴斯基曾放出针对LockBit 2.0、3.0特定分支的解密器，前提是病毒利用的漏洞已被厂商掌握，能破解加密密钥；第二种是干净离线备份恢复，这是最稳妥的方式，比如华东一家连锁生鲜超市，每月做一次离线磁带备份，上月因员工点了钓鱼邮件中招后，直接用离线备份恢复了所有POS、库存数据，没付一分赎金。

　　恢复路上绝对不能碰的坑

　　很多人中招后病急乱投医，反而让损失变大。比如网上流传的“免费解密器”，90%以上是钓鱼链接或带恶意代码的工具，去年有个开淘宝店的个体户，中招后点了网友发的“免费解密”链接，结果电脑又被装了挖矿木马，数据没恢复，还赔了几千元的电费；另外，千万别找私人黑客解密，这类人大多是骗赎金的，拿了钱就失联，根本不会帮你恢复数据；还有，别删除被加密的文件，留好样本才能让厂商判断病毒版本，提高恢复概率。

　　恢复前必须做的准备工作

　　不管选哪种恢复方式，先做这几步能提高成功率。首先立刻隔离中毒设备，拔掉网线、断开WiFi，防止病毒横向感染其他电脑；其次，把被加密的文件复制到离线移动硬盘，不要留在本地磁盘，避免被病毒覆盖；最后，联系正规安全厂商的工程师，提交加密文件样本，判断是否有现成的解密器，比如北京一家科技公司中招后，先隔离了服务器，把加密图纸存到移动硬盘，找了奇安信的技术人员，确认是LockBit 2.0分支，刚好有对应的解密器，顺利恢复了95%的数据。

　　恢复后要做的加固措施

　　数据恢复不是终点，还要做好防护避免再次中招。首先，排查入侵原因，LockBit很多是通过RDP弱口令、钓鱼邮件、系统漏洞入侵的，比如之前那家加工厂，中招后发现RDP密码是“123456”，改了长度12位的强密码，开了双重验证；其次，定期做离线备份，不要连网，比如每周备份一次重要数据，存在异地的磁带或硬盘里；最后，安装终端检测与响应系统，能提前拦截LockBit的入侵行为，减少中招风险。