文件后缀被改了、全部打不开怎么办？

单看「后缀变了」还不能下结论。下面这些迹象出现得越多，越能确定是勒索病毒：

• 后缀统一：Word、Excel、图片、压缩包、数据库等不同类型的文件，被追加了同一个陌生后缀，原来的后缀往往还留在中间，形如 报表.xlsx.陌生后缀。
• 文件名里夹着 ID 和邮箱：形如 原文件名.[一串 ID].[攻击者邮箱].后缀，这是国内高发的 Phobos、Makop 等家族的典型格式；也有家族只追加一串随机字母数字。
• 每个目录都多了一份说明文件：名字里常带 README、RECOVER、HELP、DECRYPT、info 等字样，格式为 .txt、.hta 或 .html，内容是联系方式和付款说明。
• 桌面壁纸被换成勒索提示，或者登录后弹出窗口。
• 文件大小基本没变，内容却不可读：用记事本打开是一片乱码，看不出任何原来的文字；大小与原文件相同或略大，部分家族会在文件尾部追加加密后的密钥数据。
• 时间集中、范围广：大批文件的修改时间集中在同一时段，映射的共享盘、NAS 和移动硬盘上的文件也一起变了。
• 系统层面被破坏：文件的「以前的版本」（卷影副本）全部消失，杀毒软件被关闭，数据库或备份服务停止。美国 CISA 对 Phobos 的通报就记录了攻击者用 vssadmin 删除全部卷影副本。

有两类例外要记住：少数家族加密后完全不改文件名，只留勒索信；也有家族把整个文件名替换成随机字符，看上去像文件名乱码。所以判断的核心不是后缀，而是「内容是否被加密」加上「有没有勒索信」。

下面几种情况也会让人以为「后缀被改了、文件打不开」，但数据通常还在：

U 盘病毒：火绒 2026 年 1 月的说明指出，这类病毒是把文件改成了「系统文件」属性，只勾选「显示隐藏的项目」仍然看不到。可以用安全软件的 U 盘修复功能处理，或者以管理员身份打开命令提示符，切换到 U 盘盘符后执行 attrib -S -H /S /D 去掉系统和隐藏属性。

磁盘故障：立即停止读写，不要格式化、不要反复插拔尝试，也不要运行磁盘修复，先对介质做镜像再恢复，可参考我们的数据恢复服务。

对不上上表、又符合上一节多条特征的，一律按勒索病毒处理。

下表只收录本站家族库里已归档、国内较常见的格式。「同时应看到的勒索信」一栏很重要：后缀和勒索信对得上，判断才可靠。

两点提醒：一是后缀和文件名格式可以被攻击者随意更换，同一格式也可能被几个家族共用，例如 Phobos 的格式同样见于 8Base，Makop 常被误认成 Phobos，这张表只能给方向；二是 .360 这类后缀是刻意借用知名厂商的名字，与该厂商无关。更多后缀可在加密后缀总表反查。

改名解决不了加密。 勒索病毒改的是文件内容，后缀只是它留下的标记。把 报表.xlsx.mkp 改回 报表.xlsx，文件照样打不开，Office 还可能提示文件损坏、引导你去「修复」。更麻烦的是，文件名里的 ID、邮箱和后缀本身就是识别家族与版本的依据，批量改名等于把线索抹掉；有的家族还把原始文件路径加密后写在文件尾部，乱改名只会让之后的核对更混乱。

来路不明的修复工具风险更大。 以「勒索病毒解密」「后缀修复」为名传播的程序里混有大量恶意样本，运行后可能二次加密或窃取信息；即使是真的解密器，用在版本不匹配的文件上也可能把文件写坏；任何工具在原盘上运行都会产生写入，覆盖本来还能提取的残留数据。正规的免费解密工具只来自执法机构和安全厂商，而且都要求先确认家族与版本，见勒索病毒解密工具有哪些。

勒索信也别乱开。 .hta 不是普通网页，而是由系统组件 mshta 运行的应用程序，CISA 的 Phobos 通报里就记录了攻击者用 mshta 调出 info.hta 勒索页面。用记事本查看内容就够了。

同样的道理，磁盘检查、系统还原、「以前的版本」一键还原也先别做，它们都会往原盘写入。确实需要时，在副本上操作。

确认之后，按中了勒索病毒怎么办的完整思路处置：隔离、保全证据、识别家族、评估恢复路径、报案，加固之后再接回网络。几点提醒：

• 个人电脑中招多与破解软件、激活工具、游戏外挂有关，常见的是 STOP/Djvu。K7 实验室记录到它在加密前先下载 Vidar 窃密木马，窃取浏览器保存的登录凭据、Cookie 和加密货币钱包，所以要在另一台干净设备上修改重要账号的密码。
• 公司电脑只要能访问共享盘、NAS 或服务器，就要按企业事件处理——被发现的那一台往往不是唯一中招的。
• 能不能恢复取决于家族、版本和备份，不取决于付不付赎金，诚实的判断见被勒索病毒加密的文件还能恢复吗。
• 把加密后缀和勒索信截图发给我们，家族方向与可行路径的初步判断不收费。