附真实案例，手把手教你挽回加密数据

lizongnan

　　先做紧急止损操作

　　中了勒索病毒别着急恢复数据，先做止损是第一要务。很多人发现文件被加密后会慌乱重启或继续操作，反而让病毒的加密进程扩散到更多文件，甚至感染外接存储设备。正确做法是立刻拔掉网线、关闭WiFi，停止所有文件读写操作，同时拔掉电脑上插着的U盘、移动硬盘等外接设备，避免病毒进一步传播。sorry勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　识别勒索病毒类型（含weax/ths变种）

　　判断病毒类型是选择恢复方法的前提，weax和ths变种的特征很明显：文件后缀会被改成.weax或.ths，同时桌面或被加密的文件夹里会出现勒索信，通常是README_FOR_DECRYPT.txt、HOW_TO_DECRYPT.html这类文件，信里会要求支付比特币赎金。我之前接触过一个小公司的案例，员工点击了钓鱼邮件附件后，所有办公文档都变成了.ths后缀，勒索信里明确标了ths变种的字样。

　　专业恢复工具亲测有效

　　针对weax和ths变种，有几款工具亲测能用，比如NoMoreRansom网站上的专属解密工具，这个平台是国外安全机构联合推出的，专门收录各类勒索病毒的解密工具，上传非核心的被加密文件（避免数据泄露）就能匹配解密密钥。还有Stellar Repair for File，支持Word、Excel、PDF等多种格式的修复，操作简单，适合普通用户。刚才说的那个小公司案例，就是用NoMoreRansom的ths工具恢复了95%的员工文档，只损失了少量临时文件。

　　手动恢复的辅助技巧

　　如果暂时找不到专属工具，可以试试Windows的卷影副本功能。这个功能默认开启，会自动备份文件的旧版本，操作很简单：右键被加密的文件，选择“属性”，切换到“以前的版本”标签，就能看到自动备份的历史版本，选择最近的一个版本点击“恢复”，就能找回未被加密的旧文件。不过要注意，卷影副本是本地备份，要是硬盘本身也被病毒加密了，这个方法就没用了。

　　事后防护的关键措施

　　恢复数据后一定要做好防护，不然很容易再次中招。最重要的是定期备份数据，而且要用离线备份，比如外接移动硬盘定期备份，不要只存在电脑里；其次要谨慎处理邮件附件，尤其是陌生发件人的.exe、.zip这类文件，别随便打开；另外及时更新系统和办公软件的补丁，很多勒索病毒都是通过系统漏洞传播的。