一、 勒索病毒爆发的紧急响应原则
勒索病毒（Ransomware）通过加密用户文件并索要赎金来实施攻击。在企业内网环境中，一旦确认某台主机感染，首要任务不是立即尝试解密，而是迅速隔离以防止横向传播。请遵循 "Stop, Lock, Contain"（停止、锁定、 containment）三原则：
- Stop（停止）： 立即断开受影响主机的网络连接（拔掉网线或禁用网卡），关闭电源（若怀疑病毒具有破坏BIOS或引导记录的功能，需谨慎操作，通常建议保持开机以进行内存取证）。
- Lock（锁定）： 立即修改域控账号密码，暂停相关共享文件夹权限，封锁受感染网段的交换机端口。
- Contain（遏制）： 收集现场证据，评估影响范围，制定恢复计划。
二、 第一步：现场隔离与进程排查
在物理隔离网络之前，如果主机仍在线且未完全锁屏，IT人员需快速确认病毒进程并终止。请勿重启电脑，以免丢失内存中的解密密钥或病毒样本。
1.1 查看异常进程
按下 Ctrl + Shift + Esc 打开任务管理器，切换到“详细信息”选项卡。寻找以下可疑特征：
- CPU或内存占用极高但进程名随机（如
svchost.exe的恶意副本，注意合法进程位于C:\Windows\System32）。 - 进程路径不在系统默认目录。
- 名为
ransom_note.txt或类似扩展名的可疑进程关联。
1.2 使用命令行工具辅助排查
若任务管理器被病毒屏蔽，可尝试以管理员身份运行CMD或PowerShell。执行以下命令列出所有启动项和正在运行的可疑进程：
# 查看自启动程序
msconfig
# 或更详细的注册表启动项
reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run
# 查看网络连接，判断是否还在向外发送数据
netstat -ano | findstr ESTABLISHED
截图描述： 在弹出的窗口中，重点检查“启动”标签页，取消勾选非微软官方或非公司授权软件的自启动项。在网络连接列表中，若发现指向未知外部IP的高频连接，应立即通过防火墙规则阻断。
三、 第二步：证据保留与病毒样本分析
在进行清除操作前，务必保留证据，以便后续溯源或联系安全厂商获取解密工具。
3.1 提取勒索信
查找桌面上的文本文件（如 .txt, .html, .xml），通常命名为 "HOW_TO_DECRYPT" 等。记录病毒要求的联系方式、比特币钱包地址以及文件扩展名变化（如 .locked, .crypt）。
3.2 样本打包
将以下文件打包发送至企业安全团队或专业反病毒实验室：
- 被加密的一个典型文件（不要重命名）。
- 勒索信文件。
- 病毒主程序文件（从任务管理器属性中获取路径）。
- 系统事件日志（
C:\Windows\System32\winevt\Logs\Security.evtx）。
四、 第三步：清理与系统修复
在确认病毒进程已终止且网络连接已物理断开后，使用企业级杀毒软件进行全盘扫描。建议使用具备专杀工具功能的杀毒软件（如火绒、卡巴斯基、CrowdStrike等）。
4.1 全盘扫描与隔离
操作步骤：
- 更新杀毒软件病毒库至最新版本。
- 选择“全盘扫描”或“深度扫描”，耗时可能较长，请耐心等待。
- 对于检测到的威胁，选择“隔离”而非“删除”，以便后续审计。
4.2 清理计划任务与注册表
许多勒索病毒会利用Windows计划任务实现持久化。即使杀掉了主进程，重启后病毒可能再次复活。
检查路径：
taskschd.msc：打开任务计划程序库，查找名称可疑（如乱码或伪装成系统服务）的任务，右键禁用或删除。- 注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree下的异常项。
五、 第四步：数据恢复策略
支付赎金并非首选方案，现代备份体系和系统功能往往能提供无成本恢复途径。
5.1 尝试卷影副本（Shadow Copy）恢复
Windows系统自带“以前的版本”功能，部分勒索病毒会尝试删除卷影副本，但有时会被遗漏。
操作方法：
- 右键点击被加密的文件夹或单个文件。
- 选择“属性” -> “以前的版本”。
- 如果列表中存在病毒加密时间点之前的快照，选中并点击“还原”。
截图描述： 在“以前的版本”标签页中，可以看到一个或多个带有日期时间的文件夹图标。如果存在加密前的时间戳（例如病毒在下午2点加密，而最后快照在上午10点），直接点击“还原”即可恢复文件至未加密状态。
5.2 使用解密工具
访问 No More Ransom 项目（www.nomoreransom.org），输入勒索信的勒索信名称或文件后缀。如果该病毒变种已被公开破解，网站会提供免费的解密工具。
5.3 从备份中恢复
这是最可靠的方式。请确保备份数据存储在离线介质或独立网络区域，避免备份也被加密。恢复顺序建议：
- 系统镜像恢复（若系统盘受损）。
- 应用数据恢复。
- 用户文件恢复。
六、 事后加固与预防建议
恢复业务后，必须进行安全加固以防复发：
- 权限最小化： 普通用户不应拥有管理员权限，严禁本地管理员组对共享驱动器写入权限。
- 补丁管理： 及时安装Windows更新，特别是针对SMBv1（永恒之蓝漏洞）的补丁KB4013389及以上版本。
- 邮件安全意识： 勒索病毒主要通过钓鱼邮件传播，禁止用户打开来自不明发件人的附件。
- 部署EDR： 引入终端检测与响应（EDR）系统，实时监控异常行为（如大量文件被重命名/加密）。