2026-09-26 · 约 7 分钟
①立即断网隔离（防横向加密 NAS/服务器）；②不要急着重装（内存、日志、卷影副本有取证价值）；③保留证据：加密样本、勒索信、被改扩展名；④识别家族与版本；⑤找专业评估，勿从搜索引擎乱下"解密工具"（下载站捆绑是第二重灾难）。
执法机构查获密钥后公开的家族、停止运营公开主密钥的家族、实现有缺陷可数学攻击的版本：正规渠道如 No More Ransom 聚合。2026 年主流新变种普遍采用成熟加密组合，无密钥强解在数学上不可行。
①官方/已知解密器（家族匹配时成本最低）；②加密前残留：卷影副本、旧备份、NAS 快照、数据库页碎片；③部分家族实现缺陷的部分解密。我们的顺序永远是：先判断家族 → 找解密器 → 再评估残留，把每条路的性价比摆给你看。
不保证拿到可用解密器、存在二次勒索案例、助长犯罪、企业还涉及上报义务。先做残留评估：很多数据不用赎金也能拿回相当比例。
判断还剩多少可用内容，关键要知道加密从什么时候开始、持续了多久、期间机器有没有关机或休眠。加密程序通常按顺序遍历文件，越晚被处理的部分越晚遭到改写。
如果被及时发现并立即断网，尚未轮到的部分也许还没被动过。把时间线尽可能理清楚，评估才有落点。
动手处理之前，先把受影响的卷完整镜像下来，之后无论走解密还是残留提取，都在这份副本上做。原盘保留原样，方案失败还能换思路重来。
有人一上手就在故障盘上跑各种工具，反复写入会破坏卷影副本、系统日志和尚未被改写的数据块，把本来还有机会的部分一起赔进去。顺序反了，代价通常是不可逆的。
不保证，且存在二次勒索案例。先做免费评估，把解密器路径和残留提取路径都搞清楚再决定。
取决于家族与残留。有解密器可全解；无解密器时备份/快照/碎片完整也能拿回核心数据。
只用官方渠道（No More Ransom、安全厂商官网）。下载站的"解密工具"很多本身带毒。
系统盘重装；数据盘先做镜像处置再决定，避免带毒运行二次加密。
不是。除解密之外还有残留这条路：系统还原点、卷影副本、应用缓存、数据库未提交页，以及同步到云端的旧版本，都可能在加密前就已存在。评估会把这些来源逐项查一遍再给范围。
先处理还在被写入的那台，断开网络阻止继续扩散；已经处理完的设备可以稍后再说，但要保持断电或只读状态，避免后台任务再改动数据。两边的日志都值得保留下来。
勒索软件恢复不谈"能不能破译"，只谈三件事：加密方式、密钥是否可及、有没有干净备份。 这三点决定了处置方向，跟软件品牌无关。
| 项目 | 取值 / 位置 | 说明 |
|---|---|---|
| 加密方式 | 对称加密文件内容 + 非对称包裹密钥 | 只有私钥在手才谈得上解密 |
| 密钥位置 | 攻击者服务器 / 本地残留 / 内存 | 关机后内存里的密钥会丢 |
| 有无干净备份 | 离线备份 / 快照 / 异地副本 | 有备份就不要谈解密 |
| 加密范围 | 全盘 / 指定扩展名 / 部分目录 | 决定残留明文的可用性 |
| 日志线索 | 影子副本是否被删、勒索信内容 | 影响取证与溯源，不影响解密 |
# 1) 断网、别关机（内存里可能有密钥），先做整机镜像/内存镜像
# 2) 检查是否有可用快照或离线备份
vssadmin list shadows # Windows 卷影副本现状
# 3) 统计被加密文件的范围与扩展名，判断残留明文顺序很重要：先断网（防止继续加密与外传），再保内存（密钥可能还在）， 最后才谈恢复。反过来先重启或先重装，等于主动丢掉最有价值的两类证据。
参数判定、镜像方案、固件损坏这类问题，聊清楚不收钱；需要现场检测、书面报价或上门，统一走 项目1 服务页（到店免费检测，出报告后报价，不出结果不收费）。
18620311365
深圳市福田区深南中路2070号电子科技大厦A座35楼D22（华强北地铁站D1口步行320米）