从原理到实操，教你应对THS勒索攻击

lizongnan

　　先搞懂THS勒索病毒的加密逻辑

　　THS勒索病毒是近年针对企业和个人的常见恶意程序，它通过钓鱼邮件、恶意下载链接入侵设备，把本地文件后缀改成.ths格式，比如原本的“财务报表.xlsx”会变成“财务报表.xlsx.ths”，加密方式一般是AES对称加密搭配RSA非对称加密，密钥被黑客远程控制，无对应密钥几乎无法直接解密。去年杭州一家小型制造企业的财务电脑中招，所有月度成本报表都被加密，员工急得没法正常报税。weax勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　恢复文件的核心前提

　　能不能恢复，首先看有没有提前备份。如果做了离线备份（比如未联网的硬盘、U盘），恢复概率几乎100%。宁波一家外贸公司在中招前一周刚把所有业务数据备份到离线移动硬盘，当天就完成数据还原，没给黑客付一分钱。其次要看系统是否保留卷影副本，要是病毒没删除这些副本，也能尝试部分恢复，但如果设备已联网，黑客大概率会提前删掉副本。

　　常见的几种恢复方法

　　第一种是离线备份还原，这是最稳妥的，只要备份没被感染，直接格式化或重装系统后导入即可。第二种是系统卷影副本恢复，右键点击加密文件选“属性”，找“以前的版本”，有可用副本就能恢复部分文件，广州某设计公司靠这个找回了80%的设计图纸。第三种是安全厂商专用解密工具，比如360、火绒针对THS特定变种推出过工具，要对应版本才能用。第四种是付费解密，不推荐，不少黑客拿到钱后会失联，还可能留后门再次攻击，深圳有个小厂就踩过坑，付了2万还是没拿到密钥。

　　这些错误操作别做

　　中招后别随便重启电脑，不然病毒可能扩散到其他分区，破坏更多文件。别删除加密文件，有些恢复工具需要依赖加密文件的特征匹配密钥。别轻信网上的免费解密工具，很多是带病毒的钓鱼程序，会再次感染设备。也别随便点陌生邮件里的链接，防止二次中招，上海有个用户中招后下了所谓的“免费解密工具”，结果电脑被植入了挖矿木马。

　　事后防护要到位

　　平时要做好3-2-1备份原则，3份数据、2种存储介质、1份离线备份，定期更新系统补丁，关闭445等易被攻击的端口。还要给员工做安全培训，别点陌生附件和链接，安装正版杀毒软件并开启实时监控。苏州某电商公司这样操作后，半年内没再出现THS勒索攻击的情况。