金蝶账套被勒索病毒加密后怎么恢复业务：处置顺序与恢复路径

金蝶打不开、登录时提示连不上数据库或附加失败、.mdf/.ldf/.bak 多了一串陌生后缀，同时服务器桌面或目录里出现勒索信——这种情况下，接下来一两个小时的操作，基本决定了账套还能恢复到什么程度。

眼前最优先的三件事：把这台服务器和财务终端从网络里断开；停止在原盘上做任何写入动作；把所有可能存在的备份副本盘点出来。 能不能解密、要不要找人，都排在这三件事之后。先做完这些，再往下判断。

先把服务器稳住，别急着抢救

断网是物理层面的：拔网线、虚拟机里断开虚拟网卡。只靠杀毒软件拦截不算隔离，内网共享盘、映射盘、备份服务器都可能还在被加密。

要不要关机，分情况判断，不要照搬“一律不能关机”或“赶紧重启”：

已经能确认加密过程结束（文件修改时间不再变化、没有可疑进程在跑高 IO），而且网络已断开：可以保持开机，便于后续取证和查看内存、服务、计划任务里的线索。
加密明显还在继续、或者短时间内没法把它从网络里摘出去：优先断电关机更能保住还没被处理的文件。此时“少丢文件”比“留证据”更重要。
不要反复开关机、反复重启。已经重启过也不必慌，只是部分内存线索没了，恢复路径的判断方式不变，可以参考感染后已经重启了该怎么做。

接下来是几个真正会把数据毁掉的动作，务必避开：在原盘上重装系统或格式化；直接在原始 mdf 上反复运行网上下载的“数据库修复工具”“万能解密器”；用 ATTACH_REBUILD_LOG、DBCC CHECKDB REPAIR_ALLOW_DATA_LOSS 一类带写入的修复命令去碰唯一的原件。可行的做法是先对整盘做只读镜像，或者至少把 mdf、ldf、ndf、bak 原样复制到另一块干净盘上，所有尝试都在副本上做。

同一局域网里的其他机器——出纳电脑、共享文件服务器、NAS、备份机——先检查再接入，不要一边抢救账套一边让病毒在内网继续走。

盘点备份：这一步决定后面走哪条路

备份恢复是成本最低、结果最可控的路径，所以要把范围找全，而不是凭印象说“我们没有备份”。至少逐项确认这些位置：

SQL Server 维护计划或脚本生成的 .bak，注意它经常和数据库放在同一台机器、同一个共享目录，被一起加密的情况很常见；
金蝶自身的账套备份文件（KIS 的账套备份、K/3 的账套管理备份、云星空的数据中心备份），以及金蝶云盘/云备份里的数据中心副本这类不在本机的副本；
平时拔下来的移动硬盘、磁带、异地备份服务器——只要中招时没插在这台机器上，被加密的概率就低得多；
ESXi/Hyper-V 宿主机上的虚拟机快照或整机备份；
财务自己导出过的报表、凭证 Excel、报税资料，虽然不能直接还原账套，但在后面对账和手工补录时很有用。

找到备份后还要确认三件事：备份时间点距离出事有多远、文件能不能正常还原（在隔离环境里试还原，不要直接恢复到生产）、备份本身有没有被病毒碰过。如果最近一次可用备份是一个月前，就要同时安排这段时间的凭证补录方案。

金蝶账套被加密后的恢复路径决策顺序示意图

如果盘完一圈确实没有可用副本，也不等于只能重新建账，具体可以看没有备份时还剩哪些恢复路径。

没有可用备份时，还有两条路可以评估

一是判断这个家族有没有公开解密办法。 依据是加密后缀、勒索信文件名与内容、联系邮箱/ID 格式，再结合样本特征，到 No More Ransom 等公开平台或安全团队病毒库里比对。少数较早的家族、或者攻击者配置失误、密钥已被公开的变种，确实有可用的免费解密器；但当前活跃的主流变种普遍采用成熟的非对称加密，靠暴力破解不现实。看到“全家族 100% 可解”“保证恢复”的说法要特别警惕，先要求对方说明家族名、依据和验证方式。单凭一个后缀名或一个杀软报毒名就断定家族，经常会判错，判断方法可以参考只剩一封勒索信怎么判断能不能解密，需要有人一起核对时也可以走家族识别与可恢复性判断。

二是从被加密的数据库文件里提取残留数据。 这条路之所以存在，是因为很多勒索病毒为了加密速度，对几十 GB 甚至上百 GB 的 mdf/bak 不做完整加密，而是采用文件头尾加密、按固定间隔跳跃加密或分块加密。结果就是：文件头被破坏，附加时报 5171 或进入置疑状态，数据库看起来彻底打不开，但内部按 8KB 组织的数据页里，科目、凭证、往来、存货等记录往往还有大量完整残留。通过底层页面解析把这些页提取出来、重组到一个新建数据库里，是有机会恢复出可用账务数据的。

这条路的结果取决于加密覆盖了多少、步长多大、关键系统表有没有被打穿，所以先评估覆盖范围再决定做不做，不要先承诺比例。判断逻辑在mdf 被加密还能恢复吗里写得更细；需要对实际文件做覆盖范围评估和路径选择时，可以走备份与数据库恢复评估。

在干净环境里重建金蝶服务端

不管数据从备份来还是从提取结果来，都不要在原来那台中招的系统上直接启动业务。合理顺序是：

新机器或原机换盘，重装操作系统并打补丁，改掉所有本地账号口令；
安装与原来版本匹配的 SQL Server，版本不一致会导致账套附加或恢复失败；
安装对应的金蝶服务端。这里要注意产品线差别：KIS 迷你/标准/专业版、K/3 WISE、金蝶云星空在数据库结构、中间件和数据中心配置上并不相同，恢复方式也不一样，按自己实际用的版本找对应的账套管理或数据中心恢复流程；
用账套管理工具恢复或附加账套，再重建用户、权限和加密服务等配套设置。

技术上能打开，不等于业务可以用。恢复完让财务按顺序核对：期初余额、凭证号连续性、总账与明细是否一致、应收应付与往来余额、存货数量金额、再到报表能否平。核对顺序可以照数据库恢复后怎样核对业务数据来走，发现断层尽早定位，比上线一周后才发现要好处理得多。

账号、资金和二次入侵，要分开处理

账套恢复和安全处置是两件事。入侵途径没堵住，重建完再被加密一次的情况并不少见。至少做到：

关掉直接映射到公网的远程桌面端口，改用 VPN 或 IP 白名单；清理过期账号，禁用弱口令和多机共用的管理员口令；
从另一台可信设备上重置 SQL Server sa、金蝶管理员、服务器系统口令，以及财务涉及的网银、报税、支付平台凭据。不要在还没确认干净的那台电脑上改密码；
如果同时发现远控或银狐类木马的迹象（异常外连、输入法/会议软件类可疑进程、远程协助被人用过），要清楚主机查杀干净不代表账号安全：登录会话、浏览器里保存的凭据、聊天工具可能仍被他人掌握，处理思路见财务电脑中了银狐木马，网银怎么办和银狐、远控与财务电脑风险；
一旦出现异常转账或可疑付款指令，第一时间通过银行官方渠道和公安正规报案渠道处理，同时保留转账记录、聊天记录、系统日志等材料。资金能否追回不由技术处置决定，不要听任何“保证追回”的说法。