亲授实用技巧，帮你尽快找回被锁文件

xubin

　　先确认是否真的是Wor勒索病毒

　　我上周帮朋友小周处理过Wor勒索的麻烦，他是做电商财务的，那天突然发现电脑里的订单表、库存文件后缀全变了，还弹出一个带比特币符号的固定弹窗，说要付费解密。判断是不是这个病毒很简单：一是后缀多是.worlock或类似变种，二是弹窗内容统一，不会有自定义文字，三是所有办公文件都打不开，不是个别损坏，这三点凑齐基本就能确定，别误判成普通文件损坏。ths勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　立刻断网阻断病毒扩散

　　当时小周差点点弹窗里的“联系客服”链接，我赶紧让他拔了网线，别碰任何弹窗按钮，也别重启电脑。Wor勒索会通过局域网扩散到其他设备，要是没断网，公司里的3台办公电脑都会被锁。断网后别做多余操作，尤其是别付赎金，我之前见过有人付了钱，对方根本不提供解密密钥的案例，完全是白费钱。

　　优先用系统自带备份恢复

　　小周之前开了Windows的自动备份，我带他进控制面板的“备份和还原”选项，选“恢复我的文件”，定位到病毒发作前一天的备份，大概半小时就找回了90%的订单文件，剩下的是当天新增的，没同步到备份里。这里要注意，要是有外接硬盘的手动备份，优先用这个，比系统还原的成功率高，而且不会覆盖新的未加密文件。

　　第三方解密工具的正确用法

　　剩下的10%文件，我让他用了知名安全网站推荐的Wor勒索解密工具，是专门针对该病毒变种的免费工具。要注意别去不知名网站下载工具，不然会带恶意程序二次加密文件。小周用工具扫描后，大概20分钟就解密完了剩下的文件，不过要提醒，工具不是万能的，要是病毒变种太新，工具可能没用，别反复试，避免损坏原文件。

　　事后防护的关键动作

　　小周处理完后，我让他做了三件事：一是装了靠谱的安全软件，定期更新病毒库；二是打全Windows的漏洞补丁，因为Wor勒索是靠系统漏洞传播的；三是把重要文件备份到离线硬盘，别只放本地电脑。之后他再也没遇到过类似问题，毕竟提前防护比事后恢复省心太多，不少人吃过“临时备份没做”的亏，这次小周的经历也给身边同事提了醒。