详解解密步骤及实操中的关键注意事项

xubin

　　先确认感染特征，别盲目操作

　　我接触过的案例里，不少用户发现文件后缀变成ths就慌了，直接乱删文件或格式化，反而搞砸后续恢复。其实先确认感染才是第一步：打开文件看后缀是否为ths，桌面有没有名为README.txt的勒索信，信里会明确要求付比特币换解密密钥，符合这两个特征才是舍末无勒/ths勒索病毒感染，别搞错误判成其他病毒。888勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　第一时间断开网络，切断传播链

　　一旦确认感染，最先要做的是拔掉网线或关闭Wi-Fi，这步很多人容易忽略。去年我帮一家小公司处理过类似案例，员工点了恶意邮件附件后，没断网导致病毒扩散到3台办公电脑，最后恢复了90%文件；如果当时没断网，可能整个12台电脑都中招，损失会翻几倍。断网能阻止病毒进一步感染同局域网的设备，为后续解密争取时间。

　　用官方工具解密，别轻信第三方

　　解密的核心是用安全厂商发布的官方解密工具，别点勒索信里的任何链接。有个用户私下找了所谓“黑客工具”，结果不仅没解密成功，还被植入了挖矿木马，电脑性能下降了半个月。官方工具一般能从国内头部安全厂商的官网下载，要注意区分钓鱼网站，下载后先杀毒再运行，按照工具提示一步步操作，别跳过验证步骤。

　　定期备份离线数据，筑牢防护底线

　　舍末无勒/ths勒索病毒的核心是加密本地和联网的文件，所以提前备份是最好的防护。我认识的一个个体户，每月会把生意数据拷到移动硬盘里，去年感染病毒后，只用了1小时就通过备份恢复了所有数据，没花一分钱。如果没备份，要么付费解密，要么放弃数据，而付费也有拿不到密钥的风险，所以一定要做离线备份，别只靠云端。

　　感染后的操作禁忌，别踩这些坑

　　感染后有几个绝对不能做的事：别修改文件扩展名，别重启电脑，别删除勒索信。有个用户感染后好奇改了文件后缀，结果密钥缓存被破坏，官方工具也没法解密，最后只能格式化硬盘。重启电脑可能会清除临时存储的密钥信息，删除勒索信会丢失解密的唯一凭证，这些细节一定要记牢。