亲身踩坑整理的实用恢复指南

xubin

　　第一步：先确认病毒类型，别急于格式化中了勒索病毒怎么办https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　上周我朋友的电脑突然弹出ths/sorry后缀的加密文件提示，第一反应就是要格式化C盘，我赶紧拦住了他。很多人以为勒索病毒只能格式化，但其实ths/sorry是一种变种勒索软件，加密后会修改文件后缀，格式化只会彻底删掉被加密的文件，根本没法恢复。这种病毒主要通过恶意邮件附件或钓鱼链接传播，先确认病毒类型，别盲目动手才是恢复的前提。

　　第二步：保留原始中毒介质，避免二次破坏

　　朋友当时已经在中毒的电脑上新建了几个文档，我立刻让他拔掉硬盘装进移动硬盘盒，绝对不能再通电读写。之前我自己也曾犯过这个错，中类似病毒后没拔硬盘，又存了新的项目报告，后来找工具扫描时，恢复成功率直接从预估的90%降到了30%。记住，中毒后立刻断网、拔硬盘，别做任何写入操作，是恢复的基础条件。

　　第三步：用公开解密工具尝试自助恢复

　　ths/sorry的部分版本在NoMoreRansom的公开解密数据库里有对应工具，这是国际知名的勒索病毒解密项目，收录了上百种变种的解密方案。去年我同事中这个病毒的早期版本，就是用这个工具恢复了80%的工作文件，操作时要注意对应病毒的具体后缀，比如有些变种是.ths后缀，有些是.sorry，别乱下载工具，最好从官网或安全厂商的可信渠道获取。

　　第四步：找专业机构的正确时机

　　如果自助工具尝试后还是没法解密，而且被加密的是重要资料，比如公司的项目合同、个人的毕业论文，这时候再找专业数据恢复机构。我朋友最后找了本地一家连锁的数据恢复公司，花了不到两千块，三天就恢复了全部文件，要是他当时格式化，不仅要重新做项目，还可能丢了合作机会，损失远超过恢复费用。

　　第五步：事后预防，别让悲剧重演

　　ths/sorry这类病毒防不胜防，最好的恢复其实是不中毒。现在我每天都会把电脑文件同步到移动硬盘和云端做双重备份，电脑装了实时防护的安全软件，陌生邮件附件一律不点开，上周还帮邻居恢复了他儿子的游戏存档，也是ths/sorry变种，他当时没格式化，用公开工具就搞定了。