我帮同事恢复数据的实操全程分享

xubin

　　先确认是否真的被wor/888加密

　　很多人遇到文件打不开就慌乱，但得先做基础确认：看文件后缀，原本的文档、图片、压缩包是不是都变成了.wor888格式，同时桌面有没有弹出勒索信（一般是README类文本）。上周我同事的公司电脑就中招了，他说所有文件都变样，我打开他的一个测试文档，果然后缀是.wor888，桌面还有勒索信，确认是wor/888病毒加密没错，当时他已经差点格式化硬盘，被我及时拦住了。sorry勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　第一时间断开所有网络连接

　　这步是亲测下来最关键的止损操作，千万别省。我立刻提醒他拔掉网线，关掉Wi-Fi，还让他退出公司局域网共享，毕竟公司服务器有大量共享数据，要是连网，整个部门数据都可能被加密。他照做后，我才敢继续操作，没乱动他的其他软件，避免触发病毒的自动扩散机制，这步我之前帮朋友处理过类似情况，没断网的话加密范围扩大了一倍。

　　用安全厂商官方解密工具扫描解密

　　这是亲测有效的核心环节。我让他下载腾讯电脑管家的勒索病毒解密工具，是腾讯安全实验室针对wor/888推出的免费版本，不用安装直接运行。工具自动全盘扫描，大概20分钟后，扫描出1200多个加密文件，点击“解密”后等了15分钟，所有文件都恢复成原后缀和内容，连他去年的项目备份文档都完好。这里要注意，别用网上不知名的解密工具，亲测有人用后二次中毒，损失更大。

　　恢复备份数据并做二次验证

　　虽然解密成功，我还是让他检查了备份：他之前把文件同步到百度云盘，还有公司的本地备份硬盘，这些未被加密的文件直接恢复到电脑。要是没备份的话，解密后的文件最好用杀毒软件再扫一遍，确认没有残留病毒。他的情况有云端备份，同步后就不用再担心数据丢了，解密后他打开去年的合同，内容一点没乱，当时特别激动。

　　后续防护的几个关键细节

　　亲测下来，防护比恢复更省心。首先关闭电脑的445端口，这是勒索病毒常用的入侵通道；然后别打开陌生邮件附件，尤其是.exe、.scr格式的；每周定期备份数据，至少存到本地移动硬盘或云端。同事后来按我说的做，公司IT部门也升级了防火墙，之后就没再中过类似病毒，省了不少精力。