实用方法加真实案例 帮你快速找回数据

lizongnan

　　确认加密类型 避免盲目操作

　　我接触过不少用户，电脑弹出陌生后缀文件就慌了，其实先查后缀很关键。lockbit加密后的文件后缀多是.lock，rox则是.rox，勒索信一般是README.txt或类似命名的文本文件。上周帮朋友处理的一家小型广告公司财务电脑，点了钓鱼邮件里的宏文件后，所有办公文档都变成带.lock后缀的文件，桌面还出现了勒索信，确认是lockbit家族病毒加密，要是当时朋友慌了格式化硬盘，后果不堪设想。勒索病毒数据恢复https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　立即切断网络 停止所有读写操作

　　病毒还在后台运行时，会持续扫描电脑里的文件加密，这是挽回损失的关键一步。先拔掉网线，关闭WiFi，别再往电脑里存文件、复制粘贴，甚至别打开新的文档。之前有个开五金店的个体户，中病毒后还想着备份到U盘，结果U盘也被加密，不仅电脑里的进货单没了，连U盘里的备用资料也没了，损失直接翻倍。

　　备份受损磁盘 防止数据进一步损坏

　　别直接恢复原盘，先把整个感染的磁盘做成镜像备份。用DiskGenius、EaseUS这类常用工具，把硬盘做成镜像文件，存到外接移动硬盘里，至少做两份备份，一份留作原盘，一份用来尝试恢复操作。去年有一家电商公司，因为没做备份，恢复时误操作删除了部分镜像文件，后来多花了两倍的时间才找回核心数据。

　　尝试系统自带的shadow副本恢复

　　Windows系统会自动创建还原点，里面可能有加密前的文件副本，这个方法免费又高效。右键点击被加密的文件，选择属性，再切换到以前的版本选项卡，如果显示有可用的还原点，就选加密前的时间点恢复。我朋友的个人电脑，去年中了rox病毒，就是靠这个功能找回了全部的旅行照片和工作文档，这个方法一定要先试。

　　专业工具与人工恢复的适用场景

　　如果shadow副本没用，可以试试官方推出的勒索解密工具，比如卡巴斯基、Bitdefender都有针对lockbit和rox的专属模块。要是工具也没效果，别自己乱改注册表或格式化硬盘，找有资质的数据恢复公司。我合作过的一家公司，上个月处理了一起lockbit加密案例，成功找回了92%的业务数据，不过要注意核实对方的资质，避免被骗。