一线安全运维人员实操经验分享

liukai

　　提前加密备份的落地细节

　　去年11月我帮一家珠三角五金制造企业处理ths病毒攻击，他们当时仅做本地云盘同步备份，没留离线冷备份，服务器被锁后付了60万赎金才拿到部分密钥。核心技巧是落实3-2-1备份原则：至少3份数据、2种介质、1份离线冷备份，冷备份每周断开网络插拔存储介质，避免被病毒横向渗透，这是最稳妥的前置防护。勒索病毒恢复https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　ths病毒特征的快速识别方法

　　ths是Stop家族的变种，攻击后会给所有文件加.ths后缀，每个文件夹生成README_FOR_DECRYPT.txt勒索信，要求比特币支付，还留作者邮箱。此外，它会关闭卷影副本服务，任务管理器能看到陌生高CPU的svchost分支进程。遇到这些特征要第一时间断网，不要重启服务器，防止病毒加密更多数据。

　　解密工具的精准适配选型

　　今年2月我帮电商客服团队恢复被ths锁的聊天记录，一开始乱下工具导致文件损坏，后来用StopDecryptor2024最新版才成功。注意ths有3个小变种，不同变种对应不同密钥，选工具前要通过在线特征查询确认变种，工具必须在隔离环境运行，不能连内网，避免被病毒二次感染。

　　手动恢复的关键应急步骤

　　没对应工具时可通过卷影副本恢复，上月某社区医院HIS系统被ths攻击，我指导他们找到C盘System Volume Information下的攻击前副本，复制到安全外接硬盘，操作时不要修改副本权限，恢复后要扫残留进程再开启卷影服务，这是无工具时的救命方案。

　　事后防复发的加固措施

　　ths主要靠钓鱼邮件和SMBv1漏洞传播，恢复后要做三件事：关闭SMBv1协议、补全所有系统和业务软件的高危补丁、每月做一次钓鱼邮件培训。我接触的12起ths攻击里，9起因员工点钓鱼附件，培训能大幅降低中招概率，这是长期防护的核心。