实测实用工具，帮你找回加密文件

liukai

　　先搞清楚ths/888这类病毒的特性

　　我上周帮朋友小李处理了一起勒索病毒事件，他的办公文档、私人照片全被加密，后缀变成ths，弹窗要求支付0.05比特币才能解锁。后来查资料才知道，ths/888是STOP/Djvu系列的变种，这类病毒会加密文件后追加专属后缀，同时修改系统注册表阻止还原，中招后第一时间别重启电脑，否则可能破坏残留的解密痕迹，给后续恢复增加难度。sorry勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　主流恢复工具实测对比

　　征得小李同意后，我用他的加密样本测了三款常用工具：第一个是Emsisoft Decryptor for STOP/Djvu，这是免费工具，直接下载扫描，10分钟内恢复了82%的文档，但几张高清照片因加密碎片损坏没找回来；第二个是卡巴斯基救援盘，需要做成U盘启动，进入PE后扫描，耗时25分钟，恢复了91%的文件，连损坏的照片也救回一半；第三个是R-Studio，免费版仅能恢复100KB以下的文件，付费后恢复率达95%，但操作复杂，适合有电脑基础的人。

　　实测工具的优缺点点评

　　Emsisoft的优点是操作零门槛，不用复杂设置，适合普通用户；缺点是对新出的ths变种支持慢，小李的样本是上周刚出现的，工具更新后才勉强识别。卡巴斯基救援盘的优势是带病毒查杀功能，顺便能清理残留病毒，不用再单独杀毒；缺点是需要制作启动盘，新手容易搞砸，比如我一开始做U盘时选错了镜像，白忙活半小时。R-Studio的恢复完整性最高，但年费几百元，普通用户没必要为一次中招付费。

　　中招后的应急操作注意事项

　　小李一开始差点付赎金，幸好查了资料说STOP系列病毒的解密密钥都在黑客服务器，付了也大概率拿不到，甚至会被二次勒索。正确做法是先断开所有网络，拔掉网线、关WiFi，避免病毒扩散到其他设备；然后别修改加密文件的后缀、别删除原文件，更别尝试自己破解，容易破坏数据；最后把整个硬盘做个镜像备份，再用工具扫描，防止操作失误导致数据彻底丢失。

　　日常防护的关键动作

　　小李中招的原因是点开了陌生朋友发的压缩包，里面藏着病毒。日常要做到三个动作：一是重要文件定期备份到离线硬盘，比如每周把文档拷到移动硬盘，拔掉后就不会被加密；二是别点开来源不明的邮件附件、压缩包，陌生链接别点，哪怕是朋友发的，也要先确认再打开；三是保持杀毒软件和系统更新，补丁能堵住病毒入侵的漏洞，减少中招概率。