勒索病毒解密工具有哪些？网上下载的能用吗？

可信的来源只有几类。下面是截至 2026 年 9 月仍可访问的渠道：

找工具之前先识别家族。 ID Ransomware（MalwareHunterTeam 维护）支持上传勒索信或样本识别，2026 年 9 月查询时显示可识别 1186 种勒索软件；也可以先用站内的 勒索病毒在线识别 和 后缀查询。识别结果只是候选，版本仍需样本分析确认。

下表只列出经过核实、有公开工具或执法机构发布了密钥匹配渠道的家族，重点是限制条件——这比「有没有工具」更重要。

表里没有的家族，不等于绝对没有办法，但国内近年高发的 Makop、Weaxor、TellYouThePass、BeijingCrypt 等，按站内各家族页的核查，目前都没有公开免费工具。遇到这类家族，时间应该花在备份、快照与结构修复上，而不是四处找解密器，参见 被加密的文件还能恢复吗。

• 假工具本身就是恶意程序。 2020 年，有人把 Zorab 勒索软件包装成 STOP/Djvu「解密器」传播，受害者运行后，已被加密的文件又被加密了一遍。这类程序还可能带着窃密木马或远控。
• 仿冒下载站。 搜索「某某解密工具官方下载」，排在前面的未必是官网。仿冒下载站和伪装安装包是近年木马投放的主要渠道之一，银狐木马 就大量依赖这种方式。
• 收费的「解密软件」和「包解」。 公开的解密工具都是免费发布的，要求先付费才能下载「专用解密器」或拿「解密码」的，要高度警惕。更隐蔽的是：美国 ProPublica 2019 年调查发现，有数据恢复公司宣称用自有技术解密，实际是替客户付了赎金再加价收费。付赎金本身的风险见 中了勒索病毒要不要交赎金。
• 冒名的「官方客服」。 自称与某个机构或厂商有关的工具、客服，一律回到该机构官网核实，不要点聊天里给的链接。

工具说明里写的适用条件，要逐条和自己的样本对照，而不是只看后缀：

1. 家族对得上：勒索信文件名、正文格式、联系方式、个人 ID 格式都与工具说明一致。同名、仿冒和用泄露源码改出来的衍生家族很多，只凭后缀最容易判断错。
2. 版本与时间对得上：不少工具只覆盖某段时间的版本，例如 Mallox 工具只到 2024 年初，要确认加密发生的日期和样本的构建特征。
3. 平台对得上：Windows、Linux、ESXi 加密器往往是不同实现，Rhysida 工具就只支持 Windows 版。
4. 前提条件具备：需要文件配对的，要找到同一文件加密前的原件（邮件附件、旧备份、网盘里的同一份文件）；要求在原电脑上运行的，不能先重装系统。
5. 小样本验证通过：在副本上试解几种不同类型的文件，逐个打开检查内容，而不是只看工具有没有报错。

任何一条核对不了，先停下来做样本分析。我们的 勒索病毒解密服务 会先做家族与版本判定，确认匹配之后才在只读副本上运行公开工具。

解密工具失败，多数时候只是「没解开」，但下面几种情况会造成不可逆的损失：

• 在原文件上就地解密。 版本或密钥不对时，工具可能把错误结果直接写回文件。原始密文一旦被改写，将来拿到正确的密钥也无法还原。
• 部分加密的文件被当成完整加密处理。 不匹配的工具会把完好的数据区也「解密」一遍，明文变成乱码，结构修复的余地也一起没了。
• 恶意程序还在运行。 No More Ransom 发布 Phobos / 8Base 工具时就提示，要先清除恶意程序，否则文件会被反复加密。
• 在原盘上安装工具、写出结果。 这会覆盖被删除原文件的残留，工具与输出目录应放在另一块盘上。
• 文件时间戳被改写。 有的方法依赖文件修改时间缩小密钥搜索范围（如针对 Akira Linux/ESXi 变种的方法），不当的复制、打开与改名会让这条路失效。
• 「解密成功」后立刻删除加密原件。 输出看起来正常，不代表每个文件都完整，验收完成前一个都不要删。

Avast 的解密向导提供备份加密文件的选项，建议勾选；更稳妥的做法仍是整体镜像后在副本上操作。