结合实际案例，详细步骤教你降低损失

xubin

　　第一时间断开网络，切断病毒扩散路径

　　去年我帮一位杭州服装工作室的老板处理过Lockbit勒索事件，当时他的财务电脑突然弹出勒索信，慌神的他还想着给客服发消息，结果半小时后服务器也弹出加密提示。其实这时候最该做的是立刻拔掉所有网线、关闭WiFi，禁用远程桌面功能。Lockbit是蠕虫式勒索病毒，会通过局域网横向扩散，断网能直接切断传播链，避免全店数据被加密。那次后来只损失了财务电脑里3个月的零散数据，没影响服务器的库存系统，这就是及时断网的作用。sorry勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　隔离受感染设备，避免二次数据加密

　　断网后别忙着重启或格式化电脑，要把受感染的硬盘单独拆下来，或者把加密文件复制到离线移动硬盘里，绝对不能连网。我接触过的另一家设计公司，员工电脑中Lockbit后想直接用公司共享硬盘恢复，结果共享硬盘也被加密了；后来他们把受感染电脑物理隔离，用存放在家里的离线备份硬盘，恢复了大部分设计图，减少了至少15万的损失。

　　联系正规安全机构，切勿自行解密

　　很多人看到勒索信上的“专属解密工具”就动心，这是大忌。网上的解密工具要么带木马，要么根本没用，甚至会破坏加密数据。正确的做法是联系国内正规网络安全机构，比如奇安信、360的应急响应团队，或当地网警推荐的机构。之前有一家科技公司自行下载网上的解密软件，不仅没解开，还破坏了剩下的未加密数据；后来找专业机构才恢复70%核心数据，挽回了大半损失。

　　留存加密痕迹，配合警方调查取证

　　加密后的文件不要删除，勒索信、硬盘镜像都要保存，甚至可以保持电脑开机状态，方便技术人员分析病毒特征。我跟进过的一个汽修店案例，老板一开始想删掉加密文件，后来听建议留存了所有痕迹，警方顺藤摸瓜端掉了一个Lockbit犯罪团伙，帮他追回近8万损失，还避免了附近商家再中招。

　　加固防护体系，防止再次被攻击

　　处理完损失后，一定要给设备打全系统补丁，安装EDR终端防护软件，定期做离线备份，还要给员工做勒索病毒防范培训。那个杭州服装工作室的老板，后来给所有员工电脑装了EDR，每月组织一次安全培训，还买了离线备份硬盘；今年上半年有同事点了钓鱼链接，EDR直接拦截了Lockbit入侵，没造成任何损失。