解密操作前必看的安全细节与避坑指南

xubin

　　先搞懂：二次加密是怎么发生的

　　我上个月帮一家小型图文工作室处理过Ths勒索病毒的后续问题，他们之前花了钱找所谓的“黑客”解密，结果刚过3天，部分设计文件又被加密了。后来查日志才发现，那次解密时，工作室的电脑没断干净内网，恶意进程还在后台潜伏，解密工具只是解开了表层文件，深层的加密脚本还在偷偷扫描新文件，这就是典型的二次加密——很多人以为解密完就万事大吉，其实恶意程序的残留是最大的隐患。舍末无勒,勒索病毒解密专家https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　第一步：必须彻底切断所有网络连接

　　别只拔电脑网线就觉得安全，Ths勒索病毒的变种常通过局域网、Wi-Fi甚至共享盘传播。之前一家食品加工厂的服务器管理员，只拔了办公电脑的网线，却忘了车间的生产设备还连在同一个内网，结果解密后第二天，车间的生产台账数据又被加密了。正确的做法是：关掉路由器、断开所有内网共享，连电脑的Wi-Fi开关都要关掉，确保整个受感染的网络环境和外部完全隔绝，避免恶意程序远程触发二次加密。

　　选解密工具：别用非官方渠道的“野工具”

　　我认识的一个站长，上个月中了Ths勒索病毒，图省事用了论坛里别人分享的“破解工具”，结果解密完，网站后台多了个陌生的恶意插件。后来安全厂商检测才知道，那个非官方工具里藏了二次加密的脚本，只要电脑联网就会自动触发。一定要用正规渠道的解密工具，要么是勒索病毒官方发布的工具，要么是360、腾讯电脑管家这类安全厂商推出的专用解密工具，别随便点陌生链接下载，更别信所谓的“付费解密服务”里的野工具。

　　解密系统环境：要进安全模式操作

　　之前有个电商客服，电脑中了Ths后，直接在正常系统里打开了解密工具，结果解密完，她的订单数据又被加密了。查系统进程才发现，正常模式下，恶意程序拥有管理员权限，解密工具运行时，它还在后台生成新的加密任务。而安全模式下，只有系统核心进程会启动，恶意程序根本没法运行，所以解密前一定要进入Windows的安全模式，操作完再重启回正常模式，能大幅降低二次加密的风险。

　　解密后：别忘做这两件事防复发

　　图文工作室后来在我的提醒下，解密后先做了全盘深度扫描，又给系统打了最新补丁，至今没再中招。而那家没做后续处理的食品厂，一周后又中了同类型的Ths变种。解密后必须做两件事：一是用安全厂商的深度扫描工具扫全盘，找出残留的恶意进程；二是给系统、常用软件打最新补丁，堵住漏洞。别嫌麻烦，这两步是防止二次加密和复发的关键，很多人就是省了这步，才又遭了殃。