文件打不开了，后缀变成一串不认识的字符，桌面上多了一个文本文件，里面写着"你的文件已被加密，请在 XX 小时内联系……"。
到这一步，最贵的错误往往不是加密本身，而是接下来十分钟里做错的动作：急着重启、急着格式化、急着插移动硬盘备份、或者急着交钱。
这篇只讲止损、隔离、恢复与事后加固，给一个能照着执行的顺序。
第一时间：按这个顺序做，不要颠倒
1. 断网，但先别关机
立刻拔掉网线、关闭 Wi-Fi；有条件的话在交换机上直接禁用该端口。
为什么先不关机：内存中可能还留有可用于溯源的信息，且部分勒索程序会在下次启动时继续加密。正确做法是断网后保持开机，让专业人员取证。只有在无法物理断网、且机器还在持续加密时，才考虑直接断电。
断网是第一优先级：勒索软件通常会横向扩散到共享盘、NAS 和其他电脑，每多连一分钟，被加密的范围就大一圈。
2. 拔掉所有外接存储
U 盘、移动硬盘、已映射的网络盘——它们同样会被加密。拔掉前不要在其中新建备份。
3. 不要支付赎金
理由很实际：付了不保证拿到解密密钥；付款后会进入"还会再付"的名单，面临二次勒索；同时也在资助犯罪。
4. 保留现场与证据
- 给屏幕上的勒索信拍照，记录要求的内容、联系方式、所谓的时间限制；
- 记录发现时间和最后正常使用的时刻，这个时间点决定了要从哪个版本的备份恢复；
- 保留一两个被加密的样本文件（不要删），后续解密工具验证需要它们；
- 不要改动系统时间、不要清理日志。
5. 上报
- 向公司 IT/管理层报告，由 IT 统一判断影响范围；
- 涉及企业数据的，向公安机关报案并索取回执，后续保险、合规流程都需要；
- 内部通报全员：同一批攻击通常会二次命中其他部门。
第二步：确定影响范围，再谈恢复
在恢复之前必须先查清一件事：备份还在不在。
| 要检查的对象 | 检查方式 | 风险 |
|---|---|---|
| 网络共享盘 | 从一台确认干净的电脑打开，看文件后缀是否异常 | 不要从被感染的机器访问 |
| NAS / 备份服务器 | 登录管理页查看文件，检查是否有异常登录记录 | 勒索软件常优先攻击备份 |
| 云端同步盘 | 登录网页版查看历史版本 | 同步盘会把加密后的文件同步上云 |
| 离线备份（移动硬盘、光盘） | 确认此前已断开连接 | 这是最可能幸存的一份 |
只有确认备份未被加密，才开始恢复。 否则恢复上来的是被加密的副本，白忙一场还毁掉原有备份。
第三步：恢复的正确做法
- 用干净的离线备份恢复，恢复前先对备份介质做一次病毒扫描；
- 恢复用的电脑必须是确认未感染的机器，不要直接在原机上操作；
- 没有备份的情况：不要格式化、不要重装。先咨询正规安全厂商或公安机关提供的解密渠道；对网上搜索到的"解密工具"要保持警惕，相当一部分是二次诈骗或附带恶意代码的程序；
- 恢复完成后，先只开放必要业务，观察一到两天确认没有残留，再全面恢复。
第四步：必须完成的清理（否则会被二次进入）
攻击者在拿到权限后通常会留后门。恢复数据但不清后门，等于把钥匙留在门口。
逐项检查：
- 账号：检查是否新增了陌生账号（计算机管理 → 本地用户和组），是否有人被加入了管理员组；
- 计划任务：任务计划程序库里是否有不认识的定时任务；
- 服务与启动项：任务管理器 → 启动，以及
services.msc中的非系统服务； - 凭据：所有账号改密码，尤其是共享账号、服务账号、备份账号；
- 远程入口：确认 3389 等远程端口没有对公网开放，确认 VPN/远程工具的账号已重新认证；
- 日志：事件查看器 → Windows 日志 → 安全，查看 4624（登录成功）与 4625（登录失败），找出异常来源 IP 与登录时间。
事件查看器路径：eventvwr.msc → Windows 日志 → 安全。若此前未开启登录审核，这次之后务必开启，否则下次依然查不到。事后加固清单（照着打勾）
- [ ] 备份改为 3-2-1：3 份副本、2 种介质、1 份离线或异地，备份账号独立于日常账号
- [ ] 每季度做一次恢复演练，没验证过的备份不算备份
- [ ] 所有账号启用多因素认证（MFA），尤其是邮箱和远程接入
- [ ] 收敛共享权限：按部门最小授权，避免"Everyone 完全控制"
- [ ] 关闭不必要的公网端口（远程桌面等），远程一律走 VPN
- [ ] 终端防护集中管理，确保没有长期离线的机器
- [ ] 系统与软件补丁常态化，尤其是暴露在外的服务
- [ ] 邮件侧收紧：附件类型管控、宏默认禁用、外部邮件加标识
- [ ] 开启登录审核并保留日志 90 天以上
- [ ] 每年至少一次全员安全培训 + 一次钓鱼演练
避坑提示
- 不要急着格式化重装。会同时毁掉证据和可能恢复的数据，重装前先问过 IT 或警方。
- 不要在感染机器上插新硬盘做"备份"。新盘会被一并加密，等于送一份进去。
- 不要在同一网络里继续用其他电脑打开共享盘。横向扩散就是这么发生的。
- 不要相信"交钱就给解密"的承诺。没有第三方担保，且存在付了不给、给了不能用、用了还留后门的情况。
- 不要随便下载网上搜到的"解密器"。优先走正规安全厂商和公安机关公布的渠道，不明来源的工具本身就是二次攻击的常见载体。
小结
中招之后，决定损失大小的不是病毒有多厉害，而是前十分钟做了什么。
顺序记住这八个字：断网、隔离、留证、上报。做完这四件事，再谈恢复；恢复之前先确认备份是否幸存；恢复之后必须清后门，否则百分之百会被二次进入。
最后说一句最实在的：真正能在勒索事件里救命的，从来不是事后的应急处置，而是事前的那一份离线备份。备份做对了，这类事件最多是"停摆一天"；备份没做对，就是"数据归零"。