中了勒索病毒怎么办？

勒索病毒通常会同时留下三类痕迹：大量不同类型的文件被统一追加同一个陌生后缀（常见的还带一串 ID 和攻击者邮箱，或者是一串随机字母）；被加密的目录里多出 .txt、.hta 或 .html 格式的勒索信；桌面壁纸或弹窗被换成勒索提示。服务器上还常伴随数据库与备份服务被终止、卷影副本被删除、安全软件被关闭。

几种容易误判的情况要分开看：

• 文件打不开，但没有统一后缀，也没有勒索信：可能是文件关联错误、U 盘病毒隐藏了原文件、编码问题或磁盘故障，逐项区分的方法见文件后缀被改了、全部打不开怎么办。少数家族加密后不改文件名，文件打开全是乱码时，仍要找一找有没有勒索信。
• 文件都正常，却收到数据公开威胁：可能是只窃取、不加密的勒索团伙，处置重点完全不同，见勒索团伙威胁公开数据怎么办。
• 没有文件被加密，但财务电脑被远程控制、有人冒充老板要求转账：更像银狐木马，第一步是止付和报警，见中了银狐木马怎么办。

默认做法是断网、不断电。 拔网线或在交换机上隔离，就能切断攻击者的远程控制和向其他主机扩散的通道，同时保住内存里的证据。重启或关机的代价是：

• 内存证据丢失：进程、网络连接、注入的代码，以及部分家族残留的密钥材料，只存在于内存里。2017 年 WannaCry 事件中，研究人员发布的 WanaKiwi 工具正是从仍在运行的主机内存里找回生成密钥时残留的素数来恢复文件，其说明特别强调尝试之前不要重启。
• 可能触发继续加密：部分加密程序设置了开机自启。
• 写入覆盖残留数据：启动过程会写日志、临时文件和页面文件，非正常关机后的自动磁盘检查还可能改写文件系统结构。

唯一的例外，是你亲眼看到加密还在进行、重要文件尚未被加密，而又无法立即断开网络或终止加密进程。国家互联网应急中心（CNCERT）《勒索软件防范指南》的「分类处置」写明：重要文件尚未被加密时，应立即终止勒索软件进程或关闭机器止损；重要文件已全部被加密时，可保持开机原状态等待专业处置。美国 CISA 的应急清单也只把断电作为无法断开网络时的退路，并提醒这样会丢失内存中的证据；英国 NCSC 2026 年 7 月发布的指南同样把「断网还是断电」列为需要权衡证据与止损的决定。

现实中，绝大多数人发现的时候加密已经结束，这时关机只有损失、没有收益。拿不准时就按默认做：断网、保持开机、联系专业人员。

企业的难点不在单台电脑，而在范围和组织：

• 先指定一个总负责人，技术、业务、法务、对外沟通各有专人；所有处置动作留书面记录（时间、操作人、依据），后续报案、审计与保险理赔都要用。
• 按人工入侵来对待：国内高发的 Phobos、Makop、Mallox 等家族，多是攻击者爆破远程桌面或数据库口令后手工投放，加密之前往往已在内网停留、拿到高权限账号，只处理报障的那一台远远不够。
• 业务连续性要同步启动：先定下哪些业务必须最先恢复，恢复之前用什么手工流程顶上。
• 沟通渠道要换：英国 NCSC 建议先确认企业通讯渠道是否可用、是否可信，不可信时启用备用渠道。

数据库、虚拟化、NAS、ERP 等具体系统被加密，以及域控失陷导致全网加密的处置，见页面下方的相关解决方案。

个人电脑中招，多数与破解软件、激活工具、游戏外挂有关，典型是 STOP/Djvu：后缀是四位随机小写字母，勒索信叫 _readme.txt。要额外注意两点：一是这类感染常同时带来窃密木马——K7 实验室记录到 STOP/Djvu 在加密前先下载 Vidar，窃取浏览器保存的登录凭据、Cookie 和加密货币钱包，所以要在另一台干净设备上修改邮箱、网银和社交账号密码；二是插着的移动硬盘和网盘同步目录很可能一起被加密，先暂停同步，再到网盘网页端查看有没有历史版本。

能否恢复取决于家族与版本、备份与快照、加密是否完整。大致三种情况：少数家族因执法行动或实现缺陷有公开解密工具，但通常只对特定版本有效；更常见的是没有解密工具，但能从备份、存储与虚拟化快照、数据库文件修复和未加密残留中恢复相当一部分；也有文件被完整加密、备份全部被毁、确实无法恢复的情况，我们会如实告知。详细判断见被勒索病毒加密的文件还能恢复吗，工具从哪里找、怎么辨别真假见勒索病毒解密工具有哪些。

关于赎金：No More Ransom 项目的建议是不要付款，付了也不保证拿到需要的密钥；英国 NCSC 的指南也写明执法机构不鼓励、不认可支付赎金。付款的风险与合规问题见中了勒索病毒要不要交赎金。我们不支付赎金、不代为谈判，恢复手段来自解密工具、备份快照、数据库修复与碎片重组等技术途径。

费用和周期取决于数据量、系统数量与恢复路径，见勒索病毒解密多少钱？恢复要多久。发来加密后缀和勒索信，家族方向与可行路径的初步判断不收费；需要接入环境、做镜像和试修的完整评估，是否收费会在开始前说清楚并取得您的确认。

建议报案。 勒索攻击是违法犯罪行为，报案是后续追责、保险理赔和合规说明的基础，报案渠道与材料清单见中了勒索病毒怎么报警。

企业还要研判上报义务。 依据《国家网络安全事件报告管理办法》（2025 年 11 月 1 日起施行），网络运营者研判属于较大以上网络安全事件的，需要限时报告：

• 涉及关键信息基础设施的，第一时间向保护工作部门、公安机关报告，最迟不超过 1 小时；
• 中央和国家机关各部门及其直属单位，最迟 2 小时内向本部门网信工作机构报告；
• 其他网络运营者，最迟 4 小时内向属地省级网信部门报告。

勒索软件攻击事件的报告内容还应包括要求支付赎金的金额、方式和日期。网信部门开通了 12387 热线、网站等报告渠道。事件是否达到「较大」级别、具体向谁报告，以主管部门与法律顾问意见为准。数据被窃取、涉及个人信息的，还要另行评估告知与报告义务。

在华外企和境外机构可能还需按总部所在地的要求报告：美国 CISA 建议向 CISA、FBI 当地办事处或 FBI 的 IC3 平台报告；英国机构可通过 NCSC 的事件报告页面报告。

先想清楚先救什么。 CISA 的应急清单要求按关键业务的优先级分诊和重建系统，英国 NCSC 也强调恢复顺序应由业务需要决定。常见做法是：

1. 搭一个干净的恢复环境，与被感染的网络隔离；被攻陷的系统以重建为主，而不是「清理后继续用」。
2. 先恢复基础设施：身份认证（域控）、DNS、网络和备份平台，再恢复核心业务系统，最后是一般办公与历史归档。
3. 恢复之前先验证备份：确认备份点早于入侵时间、不含攻击者留下的账号和程序，优先使用离线副本。
4. 业务方抽样验收之后再上线，缺失的增量数据按业务记录补录。

接回生产网之前，至少完成五件事：封堵已确认的入侵入口（常见的是暴露在公网的远程桌面和数据库端口、没打补丁的边界设备）；全量更换域管理员、服务账号、数据库和 VPN 等凭据；排查并清除攻击者留下的账号、计划任务、服务和远控工具；远程访问启用多因素认证；重建至少一份离线或不可变备份。

NCSC 在 2026 年 7 月的指南中提醒，没弄清事件经过就仓促恢复，会显著增加风险。恢复之后再次被加密，是最常见也最可惜的二次损失。 反复中招的根因与根治办法见为什么反复中勒索病毒。