联系我们

正在被加密、加密仍在扩散、或刚刚发现勒索信，请直接拨打服务热线，不要先发邮件等回复。

通话时请准备好三件事：

1. 发现时间与如何发现（谁先发现、通过什么现象）；
2. 受影响范围：受影响主机与业务系统数量，是否涉及虚拟化平台、数据库、NAS 与备份服务器；
3. 已做操作：是否重启过、是否重装过、是否运行过杀毒或数据恢复软件、是否已联系过攻击者。

在等待接入的同时，请先执行以下动作（这些动作直接决定后续可恢复范围）：

• 断网但不断电：拔网线或在交换机侧隔离，不要关机、不要重启；
• 不要重装系统、不要格式化、不要运行磁盘检查修复；
• 保留勒索信原件，不要删除，也不要急着清理病毒；
• 暂停自动备份与同步任务，避免把可用备份覆盖掉；
• 断开移动硬盘、备份介质与共享映射，防止继续扩散。

非紧急咨询、方案评估或加固需求，可通过邮件或微信客服提交。信息越完整，我们给出的初步判断越具体。

建议包含

• 单位名称与联系人、联系电话（便于紧急回拨）；
• 事件发现时间与当前状态（是否仍在扩散、业务是否已停摆）；
• 加密后的文件后缀，例如「.locked」或「.[随机字符]」这类形式；
• 勒索信文件名与文本内容（复制粘贴即可，不必上传原文件）；
• 受影响系统清单：服务器数量、操作系统版本、数据库类型与版本、是否有虚拟化平台与 NAS；
• 备份情况：最近一次成功备份时间、备份是否也被加密、有无离线或异地副本；
• 恢复优先级与可接受的停机窗口；
• 是否需要用于报案或合规的取证报告。

我们会在确认信息后给出初步判断与下一步所需材料。涉及紧急情况的，建议同时电话联系。

远程服务（主要方式）

7×24 接警，接到报警后快速响应。通过远程会议与受控远程通道作业，可覆盖全国客户，通常比等待工程师到场更快进入实质处置。远程作业保留操作记录，可按客户要求由其运维人员全程在旁监督。

现场服务

以下情况我们会安排工程师到现场，服务范围覆盖全国：

• 物理介质损坏、磁盘阵列结构异常，需要现场处理硬件与镜像；
• 环境完全断网或涉密，不允许外部远程接入；
• 需要现场固定证据、配合内部流程或向管理层现场说明；
• 客户明确要求工程师驻场配合。

是否需要现场、以及现场与远程如何配合，会在评估阶段一并确认。

家族识别只需要很少的材料，请务必按下面的原则提交，避免不必要的数据外传。

请提交

• 勒索信：文件名 + 文本内容（复制粘贴或截图即可）；
• 2–3 个加密样本文件：选体积不大的普通文件，例如无关紧要的测试文档、示例图片、说明性文本；
• 如有可能，附上其中某个文件加密前的原始版本，这对部分家族的分析帮助很大；
• 杀毒软件的隔离区记录或告警截图（如已处理过病毒）。

请不要提交

• 任何包含敏感数据的文件：客户信息、员工与患者个人信息、财务与合同数据、源代码、涉密文件；
• 数据库备份文件与整库导出；
• 病毒可执行文件（除我们明确要求并约定安全传输方式时）；
• 生产环境的账号口令（需要远程接入时另行约定安全方式，不要写在邮件或聊天里）。

其他提示

• 样本仅用于家族识别与可恢复性判断，按保密约定处理，评估结束后按约定期限清除；
• 不确定某个文件能不能发，就先不要发，电话里描述一下即可；
• 我们不会要求您提供业务数据全量，也不会要求您先付款再告知家族判定结果。