自己电脑中招后的亲身测试经验整理

xubin

　　中招后的初步排查与风险控制

　　上周公司年假期间，我留岗整理项目资料，备用办公电脑突然弹出陌生弹窗，所有办公文档、图片后缀全变成.rox格式，桌面上多了个名为HOW_TO_DECRYPT.txt的赎金说明，要求支付0.5比特币才能解密。我第一时间断了网线，没敢重启或点弹窗里的链接，先确认这是rox勒索病毒的典型特征——文件后缀加密、无官方免费工具前别乱操作，同时记录下中毒的磁盘分区，避免后续误操作破坏加密数据。舍末无勒,勒索病毒解密专家https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　亲测适配的第一款免费解密工具

　　我先找了业内常用的免费解密平台NoMoreRansom，查rox勒索的收录情况，发现官方已经针对主流rox变种做了解密工具。按照网站指引，我先上传了一个仅10MB的加密文档样本确认匹配度，之后下载对应工具。运行时选中毒的磁盘分区，因为电脑是机械硬盘读取速度慢，等了大概40分钟，大部分办公文档成功恢复，只有两个大的视频文件未被识别，恢复后的文档格式完全正常，这个工具完全免费，不用填任何个人信息，安全性有保障，我当时就是用它救回了项目核心方案。

　　另一款适配分支变种的免费工具

　　后来同事家用电脑也中招了，是rox的一个小众分支，NoMoreRansom的工具没识别到，我换了Emsisoft推出的免费解密工具，这个工具针对特定rox分支优化，官网能直接下载，无捆绑软件。运行时需关闭所有其他程序，等待1小时20分钟后，同事电脑里的照片、家庭文档全恢复了，没有数据损坏的情况。这个工具适合小众变种，不过下载时一定要认准官方域名，我当时差点点到带广告的山寨链接，还好及时停住了。

　　解密后的必要安全处理要点

　　成功解密后不能直接放松，我先给电脑做了全盘杀毒，用Windows Defender扫出了一个残留的恶意启动项，删掉后才敢重新联网。之后把所有恢复的重要文件重新备份到移动硬盘和云端，还给系统装了最新的安全补丁，关闭了电脑的文件共享功能，避免后续再被入侵。我还把中毒的那个U盘格式化了，确认是带毒的源头，之后再也不敢随便插陌生U盘。

　　亲测避坑的关键提醒

　　这段经历里我踩过两个坑，要特别提醒大家：一是别信网上要收定金的解密服务，我之前搜的时候看到有个网站说能解rox，要交50元才给工具，还好没转账；二是别乱点陌生弹窗，这次中招就是因为插了同事未扫描的U盘。最靠谱的预防还是定期备份，我现在每天自动把重要资料备份到云端，就算真中招也不怕，这是最省心也最可靠的办法。