亲测有效的解密与恢复方案 附真实案例参考

liukai

　　先搞懂888勒索病毒的感染特征

　　上周帮开社区打印店的阿明处理他的旧电脑，他说前一天晚上关店后，第二天所有客户的设计稿、合同文件全变了样，每个文件末尾都加了.888后缀，桌面还弹出一个黑色弹窗，要求支付0.5比特币才能解锁。后来查了才知道，这是最近活跃的888勒索病毒，主要通过盗版软件下载、陌生邮件附件传播，感染后会把所有文档、图片、压缩包加密，还会在每个文件夹里放readme.888的勒索信，明确写着解密流程和付款要求。lockbit勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　为什么不能随便给勒索者付钱？

　　阿明一开始差点转钱，后来问了做安全的朋友才打消念头。很多888勒索病毒的黑客收了钱根本不会解密，我之前在安全论坛就看到过3个类似案例：有人付了0.3比特币，对方不仅没给解密工具，还说要再付0.2才解锁，不然就销毁密钥。而且这种私下交易不受法律保护，哪怕你转了钱，也没地方说理，反而给黑产递了“生意”。

　　正规解密工具的正确使用方法

　　阿明试了360安全中心的888勒索病毒解密工具，操作很简单：先把感染的硬盘拆下来当从盘，或者用PE系统启动电脑，避免病毒继续加密新文件；然后打开工具扫描目标盘，大概20分钟就扫出了1200多个加密文件，其中90%都能一键恢复。这里要注意，工具得去官方网站下载，别点弹窗里的链接，不然会二次感染。

　　数据恢复的辅助补救措施

　　还有10%的文件用解密工具没找回来，阿明后来用DiskGenius的分区恢复功能，在D盘的隐藏分区里找回了剩下的100多个文件。要注意的是，一旦发现感染病毒，绝对不能往感染的磁盘里存新文件，哪怕是临时文件也不行，不然会覆盖被加密的原始数据，恢复概率会暴跌。

　　日常预防的实用技巧

　　阿明现在每天都会自动备份客户文件到离线移动硬盘，还装了防火墙拦截陌生IP，平时也不会下载盗版的设计软件，都是从官方渠道下。另外，他还给员工做了培训，陌生邮件附件一律不打开，U盘插之前先杀毒，这半个月来电脑再没出过问题。