从排查到验证的关键实操步骤

xubin

　　第一时间断开受感染设备与网络

　　很多企业或个人遇到sorry勒索病毒时，第一反应是打开文件查看，这反而会触发病毒进一步扩散。去年杭州某连锁奶茶店就踩过这个坑：收银系统被员工的钓鱼邮件中招后，店长直接双击了桌面的“加密文件”，结果3台备用POS机和后台共享盘全被感染。正确做法是立刻拔掉受感染设备的网线，关闭所有WiFi连接，同时断开它与局域网、服务器的映射关系，避免病毒横向移动到其他设备。rox勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　全面排查病毒残留与感染范围

　　断网后要做拉网式排查，不能只看单台设备。比如某制造业工厂的IT团队，在收银系统中招后，先查了服务器日志，发现病毒在2小时内已连接过3个生产车间的共享文件夹，于是立刻标记出12台未被完全感染的设备，隔离后单独扫描，最终保住了车间的生产数据。排查时要重点看最近24小时的文件修改记录、陌生进程、共享盘的异常访问，还要检查U盘、移动硬盘等外接存储设备。

　　确认勒索信与加密机制

　　找到桌面的勒索信（sorry勒索通常会生成名为README.txt或HOW_TO_RECOVER.docx的文件），仔细看里面的要求：比如是否有指定邮箱、赎金金额、解密方法，还要确认加密文件的后缀（通常会在原后缀后加.sorry）。这里要注意，网上流传的“sorry解密工具”大多是病毒或钓鱼链接，比如去年上海某科技公司就有人轻信网上的工具，结果电脑又被植入了挖矿病毒，数据没恢复还损失了几万元。

　　选择合规的数据恢复路径

　　恢复路径分两种：有合规备份的，直接从离线备份（比如外接硬盘、云备份的离线版本）还原，这是最安全的；没有备份的，不要随便付赎金，要找正规的网络安全厂商协助。比如某电商卖家的店铺数据被加密后，联系了国内某安全厂商，厂商通过分析病毒代码找到部分文件的解密密钥，最终恢复了80%的店铺订单数据，比付赎金划算很多。

　　恢复后的加固与验证

　　数据恢复完成后不能直接上线，要先做三件事：一是给所有设备打最新的系统补丁，修复漏洞；二是修改所有账户密码，尤其是管理员密码，用复杂的混合字符；三是做一次全量扫描，确认没有病毒残留。比如某教育机构恢复后，没改管理员密码，结果1周后再次被入侵，这次损失了更多学生信息，后来他们加固了防火墙，每月做一次病毒演练，再也没中招。