不用慌，教你5步快速排查是否被加密

lizongnan

　　第一步：查看文件后缀是否新增.rox

　　正常的文档、图片、表格都会有固定的后缀名，比如Word是.docx，图片是.jpg，Excel是.xlsx。如果中招Rox勒索病毒，所有被加密的文件后缀都会自动加上.rox，举个例子，你之前写的工作总结.doc，中招后会变成工作总结.doc.rox。别只看文件显示的名字，有些系统默认隐藏已知文件类型的后缀，你可以打开文件夹的“查看”选项，勾选“文件扩展名”，就能看到完整后缀了，这一步是最直观的判断方式。勒索病毒数据恢复https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　第二步：检查桌面是否有勒索说明文件

　　Rox勒索病毒中招后，会在桌面生成专门的勒索说明文件，名字通常是README_FOR_DECRYPT.txt或者类似的，比如“恢复文件必读.txt”“解密指南.txt”。打开这类文件，一般会看到勒索者的要求，比如要支付比特币，还会给出付款网址和唯一ID码，我楼下打印店老板上周就中招了，他桌面上多了这么一个文件，里面写着要转300美元的比特币才能解密所有文件，而且这个文件删不掉，除非先处理病毒。

　　第三步：打开常用文件看是否乱码

　　Rox病毒加密文件后，原内容会被替换成乱码，你可以试着打开平时常用的文件，比如财务报表、项目文档、家庭照片。比如公司小王某天打开自己做的月度业绩表，本来有清晰的数字和图表，结果打开后全是看不懂的乱码字符，连文件名都变了；如果是照片，打开后会是全黑或彩色乱码，连缩略图都显示不出来，这就是典型的加密特征。

　　第四步：留意系统进程是否异常占用

　　你可以右键点击任务栏，打开“任务管理器”，切换到“进程” tab，看看有没有陌生进程，名字是随机字母组合的，比如xyz789.exe、abc123.exe这类，而且CPU或内存占用特别高，平时没有这么高的。我朋友小张的电脑中招时，就看到有个陌生进程占用了90%的CPU，点进去看路径是C盘临时文件夹，明显不是正常系统进程，大概率是病毒在加密文件。

　　第五步：查看最近是否安装过陌生软件

　　Rox病毒一般通过捆绑软件传播，比如从不知名网站下载的破解版PS、剪辑软件，或盗版办公工具，安装时没注意勾掉额外选项就会中招。比如同事小赵上周下载了一个免费小说阅读器，没注意附带安装了其他不明软件，之后电脑就出现了后缀带.rox的文件，后来查才知道是中了Rox勒索病毒，所以要重点检查最近3天内安装的陌生软件。