亲测多款工具后，我发现了关键真相

lizongnan

　　先搞懂ROX勒索病毒的核心特征

　　先给没接触过的人补点背景，ROX是近几年兴起的勒索病毒变种，加密文件后缀会统一加上.rox，还会在每个文件夹里留勒索信，要求支付对应金额的比特币才能解锁。朋友的小电商公司上个月就中了招，财务的记账凭证、供应商合同全被加密，后缀变成了.rox，急得他连觉都睡不好。888勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　我实测用到的几款解密工具清单

　　为了帮他，我特意找了网上口碑靠前的5款解密工具，包括某头部安全厂商的免费工具、国外开源的一款、还有几个小众安全论坛推荐的工具，都是标注支持ROX变种的。我特意用朋友公司备份的加密测试文件先测，避免直接操作实际数据出问题。

　　实测过程中遇到的关键问题

　　测的时候发现，很多工具都有版本限制，比如有两款工具只支持2023年1月之前的ROX加密变种，朋友公司中的是2023年5月的最新变种，这两款工具直接弹出“不支持当前加密版本”的提示，根本没法用。还有一款工具扫描了两个小时，最后给出的结果是“无可用解密密钥”，白浪费时间。

　　哪些工具真的能派上用场

　　最后有一款国内安全厂商的工具成功了，它能自动识别ROX变种的加密时间和版本，扫描后成功匹配到对应的解密密钥，朋友公司80%的核心文件都恢复了，剩下的20%是临时缓存文件，本身就不重要。另一款开源工具在手动导入密钥的情况下也能解密，但操作门槛很高，普通人根本搞不定。

　　使用解密工具的重要前提

　　这次实测最核心的发现是，解密工具不是万能的，必须有两个前提：一是加密过程中文件元数据没被完全破坏，二是最好有初始备份。朋友最后是先恢复了少量损坏的临时文件，再用工具解密核心数据，要是没有备份，大概率还是得付赎金，而且工具也没法保证100%恢复所有文件。