---

theme: default themeName: "默认主题" title: "勒索病毒来了怎么办？中小企业应急响应完全手册"

---

勒索病毒来了怎么办？中小企业应急响应完全手册

上周三凌晨两点，我接到一个紧急电话。电话那头是一家医疗器械公司的IT主管，声音都在抖：我们的服务器被锁了，所有文件都变成了.locked后缀，屏幕上弹出一个勒索窗口，要求72小时内支付0.5个比特币。

这家公司没有专职安全团队，没有应急预案，连备份都在同一台服务器上——典型的中小企业现状。

发现中招的第一反应：别慌，按顺序来

大多数人看到勒索弹窗的第一反应是乱点击、乱重启，这恰恰是最危险的操作。

正确的第一动作是：拔网线。

这不是开玩笑。勒索病毒的加密过程需要时间，当你发现它的时候，可能还有一部分文件没来得及被加密。断网可以阻止病毒继续传播到其他机器，也能阻止它和C2服务器通信。如果你们公司有十几台机器互联，这一步能救命。

第二步是拍照取证。用手机把勒索界面、弹窗内容、被加密文件的截图全部拍下来。这些信息对后续判断病毒类型、评估损失范围至关重要。别嫌麻烦，拍得越清楚越好。

第三步是隔离可疑机器。如果你们有内网，把这台机器从交换机上拔下来，或者直接在交换机上shutdown对应端口。不要只拔网线就算了——很多勒索病毒会通过SMB、RDP这类协议在内网横向传播。

那天晚上的客户，就是因为在发现后第一时间切断了服务器电源（错误操作），导致后续取证困难，我们花了一整天才搞清楚是哪个家族的病毒。

看后缀名，判断是哪个家族的勒索病毒

勒索病毒家族有成百上千种，但常见的也就那么几个。快速识别病毒类型，能帮你判断有没有解密工具可用。

WannaCry：后缀名是.WNCRY或.WCRY。这个2017年的老家伙到现在还能看到，传播能力强但解密工具早已公开。 LockBit：后缀名是随机字母组合，如.Hn7w、.9m5t等。勒索信通常在所有被加密目录下都有，文件名是Restore-My-Files.txt之类。这个家族有多个变种，部分版本存在解密工具。 BlackCat/ALPHV：后缀名通常很长一串随机字符。勒索信是HTML格式，会放在桌面上。这个家族专门针对企业，攻击手法相当专业。 STOP/Djvu：后缀名是.stop、.djvu、.djvus、.Uuuu等。这个家族最喜欢针对个人用户，传播方式主要是破解软件和盗版软件。 Cerber：后缀名以.cerber开头，后面跟一串随机字符。勒索信有好几种语言的版本，包括中文。 Conti：后缀名是.CONTI或一串随机字符。这个家族之前主要攻击企业，后来泄露了源码，衍生出了很多变种。

回到那个医疗器械公司的案例——后缀是.locked，勒索信是HTML格式，经过分析确认是LockBit 2.0。好消息是这个版本存在技术漏洞，坏消息是他们的备份也被加密了。

文件恢复的几种可能方案

发现中了勒索病毒后，大家最关心的就是：能不能恢复文件？

方案一：影子副本（Shadow Copy）

Windows系统自带卷影副本功能，很多勒索病毒会主动删除这些副本，但不是所有病毒都做得这么彻底。

以管理员身份打开命令提示符，执行：

vssadmin list shadows

如果能看到有可用的影子副本，可以尝试用ShadowExplorer这类工具恢复文件。注意，这个方法只对部分勒索病毒有效，且恢复的文件可能不完整。

方案二：专业解密工具

安全厂商和反勒索组织已经发布了不少免费解密工具：

• No More Ransom（nomoreransom.org）：这是欧洲刑警组织和多家安全厂商联合建立的项目，上面有几十种勒索病毒的解密工具。

• ID Ransomware（id-ransomware.malwarehunterteam.com）：上传勒索信和加密文件样本，可以帮你识别病毒类型，并告诉你有没有可用的解密工具。

• 卡巴斯基、ESET、Avast等安全厂商官网都有针对特定勒索病毒的解密工具。

但这里有个残酷的现实：最新版本的勒索病毒，大部分都没有解密工具。黑产也在与时俱进，他们修复漏洞的速度比白帽子快得多。

方案三：专业数据恢复服务

如果以上方法都不行，还有专业数据恢复公司可以尝试。他们可能通过磁盘取证、残余数据分析等手段恢复部分数据。但这类服务价格不菲，且不能保证100%恢复。

那个医疗器械公司的案例，我们最终通过影子副本恢复了约60%的文件，剩下的40%因为备份在同一服务器上，全部丢失。损失是惨重的，但好在核心业务数据在云端还有一份。

系统清理流程：别急着重装

很多人发现中毒后的第一反应是格式化重装，这当然是最干净的做法，但也会让取证分析变得不可能。如果你们想搞清楚病毒是怎么进来的，建议先做清理而不是重装。

用可信的杀毒软件全盘扫描，推荐几个：

• Malwarebytes：对勒索病毒的检测能力不错

• Kaspersky Virus Removal Tool：免费工具，扫描能力强

• ESET Online Scanner：在线扫描，不需要安装

扫描完成后，检查启动项、计划任务、注册表启动项，把可疑的项目全部清理掉。勒索病毒通常会在这些地方留下后门，防止一次清理后再次感染。

确认清理干净后，再考虑是否重装系统。如果是重要服务器，我建议还是重装，因为你永远不知道病毒在系统深处留下了什么。

事后加固：别让悲剧重演

勒索病毒攻击的最大成本不是赎金，而是业务中断和数据丢失。事后加固是最重要的一步。

打补丁

这句话说出来像废话，但就是有无数公司做不到。WannaCry利用的SMB漏洞（MS17-010）补丁在病毒爆发前两个月就发布了，还是有几十万台机器中招。

开启Windows自动更新，或者部署WSUS统一管理补丁。如果实在做不到全员打补丁，至少核心服务器和关键终端要做到。

关闭危险端口

勒索病毒最喜欢的传播途径：445（SMB）、3389（RDP）、135/139（RPC）。

防火墙上把这些端口封掉，特别是面向互联网的出口。如果必须使用RDP远程管理，改成非标准端口，加上强密码和账户锁定策略。

备份策略

这是最重要的。备份策略有三个铁律：

备份要离线。 网络备份会被加密，云同步备份会被同步加密。至少有一份备份是离线的，比如磁带、移动硬盘定期备份后物理隔离。 备份要测试。 备份不能恢复，等于没有备份。每个月至少测试一次备份恢复流程。 备份要完整。 只备份了数据没备份配置，恢复时还是要命。完整的系统镜像备份，远比单纯的数据备份靠谱。

终端管控

禁止员工随意安装软件，特别是破解软件、盗版软件。STOP/Djvu勒索病毒的主要传播渠道就是破解软件捆绑。

禁用宏也是一个好习惯，很多钓鱼邮件的附件会利用Word/Excel的宏来投递勒索病毒。

写在最后

勒索病毒攻击不是"会不会发生"的问题，而是"什么时候发生"的问题。每一家企业都应该假设自己会被攻击，然后问自己：如果明天早上发现中了勒索病毒，我们能不能在24小时内恢复业务？

如果答案是"不知道"或"不能"，那你们真的需要重新审视一下安全策略了。

那个医疗器械公司的客户，在这次事件后部署了完整的备份方案、加固了边界防护、建立了应急响应流程。他们花了将近十万块钱，但比起那次事件造成的业务中断损失，这个投入是值得的。

【放心，我们兜底】

不管你是自己尝试修复，还是需要专业人员上门，易云城IT服务都给你托底。修不好不收费，修好了质保期内随时找我。

📞 服务热线：13708730161 💬 微信：eyc1689 📧 邮箱：service@eycit.com 🌐 https://www.eycit.com

您身边的IT专家。