亲测有效，覆盖多数常见勒索病毒的恢复方案

lizongnan

　　先别慌：第一步必做的隔离操作

　　我接触过的珠三角某五金制造企业案例，去年他们服务器中了weax勒索病毒，IT最初没重视，直到3台生产服务器的文件都被加了后缀.encrypted才慌神。这时候最该做的是立即隔离：拔掉受感染服务器的网线，关闭所有共享文件夹，断开和内网其他设备的连接，别让病毒扩散。要注意，千万别重启或关机，部分病毒会在重启时删除本地未加密的备份文件，先断网是止损的核心。sorry勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　通用恢复法核心：备份的关键用法

　　很多人以为备份是摆设，其实这是恢复的最稳妥路径。weax这类病毒会主动扫描本地和网络备份，但不会加密离线存储的备份——比如插在没联网的移动硬盘、磁带库中的数据。之前有个短视频工作室，本地硬盘全被加密，但他们存素材的移动硬盘一直插在没联网的备用电脑上，直接用离线备份恢复了所有素材，花的时间比用解密工具少一半，成功率100%。要是备份也被加密，就得转用其他方案。

　　解密工具的筛选逻辑：别踩坑

　　要是没可用的离线备份，就用安全厂商推出的通用解密工具。weax属于Phobos家族，对应工具能覆盖它的多数变种，比如360、火绒今年更新的勒索病毒解密库，已经支持包括weax在内的10种常见病毒。但要注意，别随便从不知名网站下工具，之前有个电商运营用第三方工具，反而导致数据二次加密，找专业人员修复花了3万多，一定要选厂商官方发布的工具，或者安全社区验证过的资源。

　　应急恢复后的系统加固

　　恢复数据后不能就完事，得补漏洞防二次感染。weax病毒主要利用永恒之蓝漏洞入侵，所以要及时给服务器打微软的高危补丁，关闭不用的445、139端口，这些是勒索病毒常用的入侵通道。之前那家五金企业恢复后，每周都会给员工做钓鱼测试，上个月就测出2个员工点了钓鱼链接，及时制止了潜在风险，加固后的半年里没再出现勒索病毒感染。

　　特殊情况的应对：无备份时的处理

　　要是既没备份也找不到对应解密工具，别轻易支付赎金。我上个月接触的一家科技公司，中了weax后没备份，也没找到公开解密工具，一开始想付5万赎金，但后来咨询安全专家，找了专业解密机构，花了4万多恢复了90%的数据，而且没留下隐患。支付赎金不仅成本高，还会让犯罪团伙继续作案，所以优先考虑专业机构的技术支持，而非直接转钱。