背景与事件概述
某中型制造企业IT运维团队接到紧急报告：财务部一台运行Windows 10的专业工作站无法访问共享文件夹，且桌面上出现名为 "README_RECOVERY.txt" 的提示文件。用户表示电脑在打开一个名为 "Invoice_2023_Q4.xlsx" 的附件后，屏幕突然变黑，随后所有文档后缀变为 .locked，并弹出勒索信要求支付比特币。
经初步判断，这是一起典型的勒索软件攻击事件。作为IT管理员，必须立即启动应急响应流程，防止威胁横向扩散，并尝试恢复数据。
第一阶段：紧急隔离与遏制
发现异常后，首要任务是切断感染源与内部网络的连接，避免病毒通过SMB协议或远程管理工具传播到其他服务器和工作站。
- 物理断网：立即拔掉该工作站的网线，或关闭无线网卡。如果设备处于域环境中，应在域控制器上禁用该计算机账户。
- 隔离VLAN：若条件允许，将该端口划分至隔离VLAN，仅保留带外管理通道，以便后续取证而不影响业务网络。
- 暂停相关服务：检查同一子网内的其他主机，确认是否有异常进程或端口监听。同时，暂时停止域控上的组策略更新推送，防止恶意配置下发。
第二阶段：样本分析与溯源
在确保环境安全的前提下，对感染主机进行初步分析，确定勒索软件变种及入侵途径。
1. 检查进程与网络连接
使用任务管理器或PowerShell命令查看异常进程：
Get-Process | Where-Object {$_.WorkingSet64 -gt 100MB} | Sort-Object WorkingSet64 -Descending
netstat -ano | findstr "ESTABLISHED"
发现名为 svchost_update.exe 的异常进程占用大量CPU，其路径不在System32目录下，且连接了一个外部IP地址。这通常是勒索软件的加密核心模块或C2通信进程。
2. 检查启动项与计划任务
许多勒索软件会通过修改注册表或创建计划任务实现持久化：
- 查看
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run - 使用
schtasks /query /fo LIST /v检查近期创建的计划任务。
在此次案例中，发现一个名为 "SystemCleanup" 的新建任务，指向恶意可执行文件。
3. 确定入侵向量
通过审查Windows事件日志（Event Viewer），特别是Security日志中的事件ID 4624（登录成功）和Application日志中的可疑行为，结合用户反馈，确认入侵途径为钓鱼邮件附件。用户误启用了宏功能，导致恶意脚本下载并执行了载荷。
第三阶段：恶意软件清除与系统清理
在数据恢复之前，必须先彻底清除系统中的恶意残留，否则重启后可能再次被加密或陷入循环感染。
- 进入安全模式：重启电脑，按F8或通过msconfig引导进入“带网络的安全模式”。此时大多数勒索软件的自启动服务不会加载。
- 手动删除恶意文件：根据前期分析，删除可疑的可执行文件、DLL库以及残留的配置文件。特别注意隐藏文件夹和临时目录（%Temp%）。
- 修复注册表与启动项：删除之前发现的所有恶意计划任务和注册表启动项。
- 全盘杀毒：使用最新版本的商业杀毒软件或EDR工具进行全盘扫描，确保没有遗漏的后门程序或挖矿木马。
第四阶段：数据恢复策略
数据恢复是本次应急响应的核心。根据加密类型和备份情况，采取不同策略。
1. 评估加密算法
通过分析 .locked 文件的头部信息或使用解密工具（如No More Ransom项目中的检测工具），判断加密算法。本例中，文件头部显示使用了AES-256 + RSA混合加密，属于强加密，目前无法直接破解私钥。
2. 检查卷影副本（Shadow Volumes）
虽然勒索软件通常会删除卷影副本，但在某些情况下，管理员可能未覆盖默认策略，或者使用了第三方备份软件接管了卷影存储。
操作步骤：
- 右键点击受感染的文件夹，选择“属性” -> “以前的版本”。
- 查看是否存在早于感染时间的快照。
- 如果有，直接选择“还原”或“复制”出文件。
在此次案例中，发现存在一天前的系统自动快照。由于勒索软件未成功调用 vssadmin delete shadows 命令（可能是权限不足或被管理员策略阻止），因此可以使用以下命令恢复：
vssadmin list shadows
robocopy "D:\Finance" "D:\Recovery\Finance" /E /XF *.locked /XD "System Volume Information"
注意：使用Robocopy时排除 .locked 文件和系统卷影目录，只拷贝非加密的原文件。
3. 从离线备份恢复
如果卷影副本也被清除，则必须依赖离线备份（如磁带、NAS定期归档或云端冷存储）。将备份数据恢复到隔离的环境中，校验完整性后，再逐步恢复至生产环境。
第五阶段：事后加固与建议
事件结束后，必须进行复盘并加强安全防护，防止类似事件重演。
- 启用应用程序控制：部署AppLocker或WDAC，限制只有签名合法的EXE才能运行，防止无文件攻击和未知恶意软件执行。
- 强化邮件网关策略：启用附件沙箱检测，拦截包含宏的Office文档，除非来自可信发件人。
- 实施最小权限原则：普通员工不应拥有本地管理员权限，防止恶意软件提权。
- 3-2-1备份策略：确保至少3份数据副本，存储在2种不同介质上，其中1份离线或不可变存储（Immutable Storage），以抵御勒索软件的备份删除行为。
- 定期演练：每季度进行一次模拟勒索软件攻击演练，测试应急响应流程和备份恢复的有效性。
总结
面对勒索病毒，冷静、快速的隔离和规范的备份恢复机制是关键。虽然完全预防极难做到，但通过完善的纵深防御体系和可靠的离线备份，可以将损失控制在最小范围。IT人员应时刻保持警惕，定期更新补丁和安全策略，构建坚韧的企业数字免疫系统。