接到十几个人同时报修、满屏都是勒索信的时候，最容易犯的错是从喊得最大声的那台开始修。正确的顺序和“谁坏得最严重”无关，只和还能救回多少有关：
- 先遏制：阻断内网互通和外联，让加密停在当前范围；
- 优先级 0：保住还没被碰的备份（备份服务器、NAS、移动硬盘、磁带）；
- 优先级 1：切断控制中枢——域控、跳板机、虚拟化管理平台、核心网络设备；
- 优先级 2：抢救还在被加密或只加密了一部分的核心业务机（数据库、ERP/财务账套服务器）；
- 优先级 3：已经彻底锁死的普通办公电脑——断网关机、保留现场，排最后。
多台同时中招，基本可以判定攻击者已经完成横向移动，或者拿到了某个高权限通道。这种情况下单台排查的速度永远赶不上扩散速度，所以第一动作一定是全局的。
第一步：按网络规模选不同的断网方式
目标只有一个：让机器之间不能互相访问，也不能连外网。怎么做取决于你的环境。
- 十几台机器的工作组网络：逐台拔网线、关无线最快，顺序从服务器和共享盘所在机器开始，再到办公终端。
- 几十台以上、有交换机分区：别指望一台台拔。直接在接入交换机上断掉相关端口或下联链路，或者把受影响网段从核心上摘掉。同时在出口防火墙上切断该网段的外联。
- 有虚拟化集群：先断物理服务器的业务网口和管理网口，不要在没确认安全的前提下去登管理平台做批量操作——管理账号本身可能已经是攻击者在用的那把钥匙。
- 有 VPN、远程桌面映射、第三方运维通道：一并关掉。很多二次加密是从这些通道回来的。
如果现场只有一个人、环境又复杂，拉掉受影响区域的网络总闸比逐台排查更稳妥。业务中断的代价，通常远小于让加密再跑半小时。
优先级 0：备份是唯一不能赌的东西
断网之后第一件事不是去看哪台机器更惨，而是跑去机房把备份摘干净。
现在的勒索攻击在正式加密前，往往会先摸清备份架构，优先删除或加密备份副本，再动生产数据。所以：
- 备份服务器、备份一体机立刻拔网线；
- NAS 断开共享挂载，停掉所有同步、复制任务（同步会把加密后的文件覆盖到好副本上）；
- 移动硬盘、磁带如果已经插在某台机器上，确认那台机器已断网后再取下，单独放好；
- 绝对不要在任何一台疑似中毒的机器上插入干净的备用硬盘，也不要为了“先看看备份还在不在”去挂载备份卷。
确认备份存在和确认备份可用是两回事。把介质物理隔离之后，验证要放到干净的独立机器上做，不要在生产环境里试读。如果打开一看备份也已经被加密，先别删、先别覆盖，那堆文件里常常还藏着可提取的部分，处理思路可以参考备份文件也被加密后该怎么判断还剩什么能救。
优先级 1：控制中枢不处理，修好的机器会再被加密一遍
这一级包括：域控制器、运维跳板机/堡垒机、虚拟化管理平台（vCenter、ESXi 主机、Hyper-V 管理机）、核心交换与防火墙的管理口。
理由很直接：如果域控失陷或者域管凭据泄漏，你辛辛苦苦恢复的几台机器，可能在当晚就被再下发一次脚本加密。所以在这一步要做的是隔离管理平面，而不是立刻重装域控。
具体动作：
- 域控断掉对终端网段的访问，保留其自身状态不要重装；
- 停用、重置可疑的域管理员和本地管理员凭据——注意，改密码要在一台确认干净的独立设备上操作，不要在刚中招的机器上改；
- 检查并关闭计划任务、组策略里近期新增的启动项和脚本分发；
- ESXi/Hyper-V 主机如果虚拟机文件已被加密，不要重建数据存储、不要删除看起来损坏的卷，判断方法另见ESXi 虚拟机被加密又没有快照时的处理顺序。
优先级 2：抢的是“还没加密完”的那部分
这一级价值最高，也最容易被忽略——因为这些机器表面上“还能用”。
怎么判断一台机器还在被加密：文件扩展名在持续变化、磁盘 IO 居高不下、某个不眼熟的进程占着 CPU、共享目录里的文件一批批换名。SQL Server、Oracle、金蝶用友的账套服务器属于典型目标，而数据库文件常常是加密到一半——头部被改了，后面的数据底表和事务日志还完整，这部分往往能救回相当一部分内容。
处置取舍：
- 能可靠断网，加密进程已经停了 → 保持开机、断网，保留现场，交给有经验的人分析；
- 断网后加密仍在继续，或者没办法快速断网 → 果断断电。继续让它跑，只会把还完好的那部分也毁掉；
- 不要为了“保险”去运行杀毒全盘清理、磁盘修复工具或各种一键解密器。在唯一原件上反复折腾，是把可恢复变成不可恢复最常见的方式。
如果加密是顺着共享目录蔓延过来的，源头可能并不是这台服务器，先断共享再回溯发起方的做法见共享文件夹被加密后怎么找到真正在加密的那台机器。
优先级 3：已经锁死的办公机，价值在证据不在抢修
桌面已经铺满勒索信、文档全带新后缀的机器，破坏已经完成，它不再构成扩散风险，排在最后处理。要做的只有两件事：断网关机，保留现场。
关机前后务必保住这些东西，它们决定了后面能不能判断家族和可解性：
- 勒索信原文（txt/html/hta，不要只截个图）；
- 两三个被加密的小文件样本，连同同名的未加密原件（如果邮箱或手机上还存着一份），这对版本比对很有用；
- 系统日志、安全日志，以及可疑的可执行文件路径；
- 攻击发生的时间点、谁最早发现、当时在操作什么。
不要就地重装、不要全盘格式化、不要为了“赶紧上班”先把系统重做一遍——重装之后，家族识别和溯源的线索基本就没了。提交资料时也不要把数据库、客户名单、生产口令上传到公开论坛或随便哪个在线分析站。
顺手要做的一件事：找最先中招的那台
多台同时加密，起点通常是某一台人工操作过的终端——点开了伪装成“违纪通报”“财税新政”的文件、装了假的财务工具、或者被远控软件接管过。这台机器上往往留着远控木马和被盗的凭据，是后续横向移动的跳板。
涉及财务、出纳电脑时，主机处置、账号会话、资金风险要分三条线各自处理：
- 主机：断网保留现场，别急着查杀，杀软不报毒不等于已经清干净；
- 账号：换一台确认干净的设备，重置网银、邮箱、OA、微信/QQ 的密码，并踢掉所有已登录会话，U 盾、密钥介质拔下来；
- 资金：发现异常转账，第一时间通过银行官方渠道和公安报案处理，保留转账记录与聊天截图。任何人都不该向你承诺能把钱追回来。
这条线的排查细节可以参考陌生远程控制软件自动出现时的排查顺序，以及银狐木马与远控、账号风险的专项说明。
什么时候该叫人，叫人之前准备什么
下面几种情况，继续自己摸索的风险大于收益：加密仍在扩散而你无法确定边界；域控或虚拟化平台已经失陷；数据库、账套服务器被加密且备份不可用；或者已经出现账号异常登录、异常转账。
真要找外部支援，先把这些整理好：受影响主机清单（角色、系统、是否已断网）、勒索信原文、几个加密样本、备份现状、最早发现时间。资料齐了，别人才可能给出靠谱的可恢复性判断，而不是先报个价。相关准备清单可以看找恢复公司之前需要准备的五类资料。
需要说明的是，清除病毒和恢复文件是两件事：杀干净了文件照样打不开；而能不能解密，取决于家族、版本和密钥实现，不是所有变种都有可行路径。先做家族识别与可恢复性判断，再决定走解密、走备份还是走残留数据提取，比直接下工具试要稳。如果现在加密仍在进行、多人多机受影响，这类正在扩散状态下的应急处置属于需要尽快介入的场景，可以通过联系页面说明情况，不要在公开渠道上传数据库和口令。
最后把顺序再收一遍：断网 → 保备份 → 切管理平面 → 抢正在加密的业务机 → 封存已锁死的终端 → 找源头机和账号资金风险。谁催得急不重要，哪台还能救回东西才重要。
评论(0)