专业实操恢复，帮你挽回数据损失

lizongnan

　　第一时间断开网络，别重启别打款

　　很多人遇到勒索病毒第一反应是重启电脑或按勒索信打钱，这两个都是大忌。我之前接触过一家互联网公司行政，中weax病毒后直接关机重启，结果加密文件扩散到备用服务器，原本只需要恢复本地盘，后来要处理整个服务器集群，多花了近两万成本。正确做法是立刻拔掉网线，断开所有共享文件夹和外接存储，阻止病毒继续感染，同时绝对别点勒索信链接，更别打款，90%以上受害者打钱后都拿不到有效密钥。ths勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　先确认病毒变种，别乱搜解密工具

　　weax和ths是勒索病毒的两个不同变种，很多人会去网上找免费解密工具，但那些工具大多针对其他变种，错用会彻底损坏文件。之前帮一位小型电商店主处理时，他自己下了个所谓“weax解密工具”，结果破坏了500多份商品图片的缩略图，最后还是找专业机构恢复了原图。正确做法是先查看加密文件后缀（weax加.weax，ths加.ths），再把勒索信截图整理好，发给懂行人员或专业机构确认变种，避免无效操作。

　　解密前的关键准备工作

　　别等专业人员上门才准备，提前整理好所有被加密的文件、能找到的原文件备份（哪怕损坏）、勒索信截图，存在干净U盘里，千万别存在中毒电脑的外接盘上。之前有个广告公司设计师，整理时直接把文件拷到中毒电脑的移动硬盘，结果移动硬盘也被加密，白忙活一下午。另外，记清楚中毒电脑的系统盘和数据盘盘符，方便专业人员快速排查加密范围。

　　解密恢复的核心流程与风险规避

　　weax/ths的密钥是每个受害者独有的，网上没有通用解密工具，专业解密需要先对加密文件做哈希校验，确认文件完整性，再用定制密钥解密。我接触过一家教育培训机构，就是靠专业机构拿到独有的密钥，恢复了1000多份学生档案，耗时3天，中间每一步都做了临时备份，防止解密出错。这里要注意，解密过程中绝对不能中断，也别随意修改加密文件，避免密钥失效。

　　事后防护，避免二次中招

　　数据恢复后别觉得万事大吉，必须给电脑装正版杀毒软件，定期更新系统补丁，别点陌生邮件附件，别下载不明来源的软件。之前那个电商店主，恢复后买了每月一次的离线备份服务，用移动硬盘单独存数据，后来公司再没中过类似勒索病毒。另外，要定期给员工做网络安全培训，别让同事随便插外接设备，从源头降低中毒风险。