覆盖主流变种，教你高效恢复数据与防护

liukai

　　先明确目标变种特征（Weax vs LockBit）888勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　很多人分不清这两种勒索病毒的差异，先看核心标识：Weax的加密后缀为.weax，多针对中小企业桌面端批量感染，会篡改系统注册表阻止安全软件运行；LockBit是当前最猖獗的变种，后缀多为.lockbit3、.lockbit2，能横向扩散到局域网服务器，加密核心业务数据。我接触过深圳一家电商服务商，今年初就中了LockBit，服务器里的订单数据全被加密，后缀统一改成.lockbit3，当时他们差点丢了半年的业务数据。

　　应急响应：先隔离再排查

　　一旦发现文件后缀异常，第一动作是断开所有网络，包括WiFi和局域网，绝对不能碰重启电脑这类操作，避免病毒继续扩散。之前那家中型服装代加工厂的案例，管理员发现办公电脑文件全变成.weax后，第一时间拔掉网线，没碰旁边的服务器，最后确认只是单终端感染，只需要恢复该电脑的备份，要是连了服务器，后果不堪设想。还要打开任务管理器，排查陌生的加密进程，Weax的进程名多是随机exe，LockBit会伪装成系统服务。

　　针对性数据恢复实操

　　Weax的恢复相对简单，多数情况下系统会保留卷影副本，右键文件属性选“以前的版本”就能恢复，我之前帮朋友恢复过Weax加密的毕业照片，用这个方法找回了90%的内容。LockBit的加密逻辑更复杂，卷影副本常被删除，这时候要找官方提供的解密工具，比如Emsisoft的LockBit解密器，别用第三方工具，容易二次感染。那家电服务商就是用这个解密工具，花了2天恢复了80%的订单数据，剩下没备份的部分，后来发现即使付赎金，解密后仍有残留病毒，得再全面杀毒。

　　恢复时要避开的误区

　　很多人第一反应是付赎金，其实Weax和LockBit的官方解密成功率都在90%以上，付赎金不仅助长勒索方，还可能泄露数据。还有人盲目格式化硬盘，这是最错误的操作，格式化后数据几乎没法恢复，专业工具的成功率也极低。另外，别随便点击陌生邮件里的链接，这是两种病毒的主要传播途径，Weax靠钓鱼邮件，LockBit靠漏洞传播。

　　事后加固：防止再次中招

　　数据恢复完成后，立刻升级系统补丁，LockBit会利用旧漏洞扩散，Weax多通过弱口令入侵，所以要给设备设20位以上的强口令。还要装正规的终端安全软件，定期做离线备份，比如用移动硬盘存数据，别只存在本地服务器。那家电服务商恢复后，给服务器换了强口令，每周做一次离线备份，至今没再被勒索病毒入侵。