专家梳理应急流程，帮你减少数据损失

xubin

　　立刻断网，阻断病毒扩散

　　很多人刚发现文件后缀被篡改（比如添加.lockbit后缀）就慌着重启电脑或点其他链接，这是最危险的操作。第一步必须彻底断网——拔掉网线、关闭WiFi，同时停止所有服务器的对外连接，切断病毒的传播路径。我去年接触过一家中型电商企业，员工误点开伪装成“订单确认单”的邮件附件，Lockbit病毒瞬间加密了3台客服电脑的客户数据，幸好运维经理第一时间断开了整个部门的内网，才没让病毒扩散到仓储、财务的核心服务器，不然损失至少翻三倍。勒索病毒恢复https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　别碰非官方解密工具，避免二次破坏

　　网上一搜“Lockbit解密”出来的工具九成以上是陷阱，要么捆绑新的恶意软件，要么根本无法解密，反而会删除剩余数据。有个开水果店的个体户之前中了Lockbit，花了两千块买了所谓的“黑客专属解密工具”，结果对方不仅没解密，还把他存了10年的进货单和客户联系方式彻底删了，最后只能找专业公司恢复了不到六成数据。记住：非官方工具绝对不能碰，哪怕说能免费解密也不行，别给病毒可乘之机。

　　留存证据，联系正规专业机构

　　要留存所有中毒相关的证据：加密后的文件、病毒弹窗截图、中毒前后的网络日志、邮件记录，这些是后续维权和数据恢复的关键。别自己去联系勒索者协商，找国内正规的网络安全厂商，比如启明星辰、奇安信的应急响应团队，他们有处理Lockbit勒索病毒的成熟经验，不会像黑产那样坑骗受害者。

　　评估损失，制定合理恢复方案

　　先统计加密的文件类型、数量，以及业务中断的影响——企业的核心数据（客户信息、订单系统）和个人的照片、工作文档，恢复优先级完全不同。如果赎金金额远低于数据恢复成本，且没有可靠的离线备份，再考虑谨慎协商赎金，但一定要先通过专业机构确认对方有解密能力，别付了钱还拿不到密钥。

　　事后加固，防止再次中招

　　恢复数据后，要立刻打系统和软件的安全补丁，尤其是远程桌面、Office宏的漏洞——Lockbit正是靠这些漏洞快速传播的。还要定期做离线备份，不能只存在本地硬盘，最好用物理隔离的存储设备，比如移动硬盘，平时不插在联网电脑上。另外给员工做一次勒索病毒的培训，别随便点陌生邮件、下载不明附件，从源头降低感染风险。