别乱操作，按步骤来才能减少数据损失

liukai

　　立刻断网，切断病毒传播链

　　我之前帮做电商的朋友处理过一起wor勒索病毒事件，他公司的财务误点了带毒的供应商邮件，当时只顾着查邮件内容没立刻断网，结果病毒顺着内部共享盘扩散到了所有员工电脑，连服务器里存了3年的客户订单都被加密了，最后花了近十万的恢复成本，还耽误了半个月的发货。遇到这种情况，第一时间要拔掉网线，或者在路由器里断开所有设备的外网连接，绝对不能让病毒继续感染其他设备或共享文件夹。如果是服务器被感染，还要立刻断开它和其他终端的连接，避免整个局域网沦陷。舍末无勒,勒索病毒解密专家https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　坚决拒绝支付赎金，避免二次诈骗

　　很多人遇到加密文件第一反应是找密钥，网上的赎金要求基本都是比特币，我接触过的三个客户里，有两个付了赎金，结果要么没拿到密钥，要么拿到的密钥只能解一半文件，还被黑客要求加钱。另外，支付赎金本身就是在给黑客提供犯罪动力，后续可能还会被盯上，甚至泄露数据。我有个做设计的客户，付了2个比特币后，黑客不仅没给全密钥，还把他的客户作品集卖了，损失远超过赎金。所以千万不要抱着“破财消灾”的侥幸，这大多是陷阱。

　　找正规安全厂商，别用陌生解密工具

　　网上到处流传的“wor解密工具”“万能密钥”，大多是带恶意代码的，我之前有个客户下了所谓的解密工具，结果电脑又被装了挖矿病毒，数据没恢复还损失了更多电费。正确的做法是找国内有资质的安全厂商，比如奇安信、启明星辰这类，他们有专业的勒索病毒解密团队，能根据你的病毒变种定制方案，安全性有保障。我朋友公司后来就是找奇安信的团队，只用了两天就恢复了80%的加密文件，没出任何问题。

　　优先用离线备份恢复，而非解密

　　如果之前有做离线备份，比如外接移动硬盘、云盘的离线快照，直接用备份恢复是最快最安全的。我认识的一家小广告公司，平时每周都会把客户素材备份到离线硬盘，这次中了wor病毒，只用了几个小时就恢复了所有数据，没花一分钱。要是没有备份，再考虑解密，解密不仅慢，还可能有残留病毒，导致后续文件再次被加密。

　　事后加固防线，防止再次中招

　　恢复数据后，不能就这么算了，要赶紧补漏洞。比如给所有系统打最新补丁，装终端安全防护软件，定期给员工做反钓鱼培训，别再随便点陌生邮件、下载未知来源的文件。我朋友公司就是因为没补邮件网关的漏洞，才被黑客钻了空子，后来装了邮件安全网关，还每周组织一次安全培训，再也没出现过类似问题。