亲测可行的恢复步骤，帮你挽回重要数据

liukai

　　先别慌：立刻断开设备网络

　　很多人中招勒索病毒后第一反应是改密码或找工具，其实最该做的是立刻断开设备网络。我上周帮隔壁工位的同事处理过，他一开始没断网，本来只加密了桌面的工作文档，10分钟后整个D盘的项目文件全被锁了，晚一步恢复难度直接翻倍。断网后还要关闭远程桌面等不必要的端口，防止病毒扩散到公司的其他设备。勒索病毒解密https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　排查加密特征，确认勒索类型

　　不同勒索病毒的加密逻辑和恢复方法差异很大，先别慌着付赎金。我朋友上个月中招，生成的勒索信是README.txt，加密后缀是.xxx，后来查了是Phobos变种，这种病毒会保留系统卷影副本，有专门的免费恢复工具。如果是WannaCry这类旧变种，要先打对应补丁，但现在大多是新变种，先查文件后缀和勒索信内容，别盲目操作。

　　备份优先：用离线镜像做恢复准备

　　我自己旧笔记本中招时，先做了整个硬盘的离线镜像，用DiskGenius的克隆功能把原盘数据完整复制到外接移动硬盘，这样就算操作失误，也能还原到中招前的状态。千万别在原盘上直接恢复，我第一次没做镜像，误删了几个关键恢复点，后来多花了两天时间才补回来，这是亲测的教训。

　　工具辅助：亲测有效的免费恢复方法

　　很多人忽略Windows自带的卷影副本，用ShadowExplorer工具就能提取，朋友的Phobos病毒靠这个恢复了80%的工作文档。还有NoMoreRansom网站，专门提供免费解密工具，我之前帮人查过，找到了针对某个变种的解密器，直接恢复了部分加密文件。另外Recuva适合找回被加密前的误删文件，注意别装在原盘上。

　　求助专业机构：避免二次数据损失

　　如果自己折腾几天没进展，别硬扛，找正规专业的数据恢复机构。之前认识的小店老板，收银系统被加密，自己弄了三天没好，找本地正规机构花了两千多，恢复了所有收银数据，比重新做系统损失小太多。要找有资质的，别找那种先收钱才干活的，避免被骗。