服务器中了勒索病毒怎么办？

对外提供服务的服务器，入口集中在几扇「一直开着的门」上：

• 远程桌面暴露在公网。 3389 端口直接映射，或云安全组对所有来源放行，再配上弱口令或多台服务器共用的管理员口令。Phobos、Makop、BeijingCrypt 这类家族的主要入口就是爆破登录后手工投毒。
• SQL Server 暴露在公网。 1433 端口加上 sa 弱口令，登录后借 xp_cmdshell 等功能执行系统命令。Mallox 与其后继 Weaxor 都以这条路线为核心。
• 没打补丁的对外应用。 ERP、OA、财务软件与中间件的高危漏洞会被批量扫描利用，TellYouThePass 是这条路线的代表。
• 云账号本身。 AccessKey 或控制台密码泄露后，攻击者可以直接在控制台里操作实例、删除快照；阿里云的 AccessKey 泄露处置文档就把恶意勒索列为后果之一。

判断入口不只是为了写报告。入口不封、口令不换，恢复上线后被同一批人再次加密的情况并不少见，根因分析见 为什么反复中勒索病毒。

勒索攻击很少只停在一台服务器上。攻击者拿到第一台之后，扩散方式往往并不复杂：用同一个本地管理员口令登录其他服务器，从这台机器保存的远程连接记录和凭据找到下一台，或者拿到域管理员权限后统一投放。

所以要先把范围问清楚：

• 哪些服务器出现了勒索信、后缀变化或新增账号？各台的加密时间是否先后不同？时间不同通常说明攻击者还在网内推进。
• 哪些服务器与中招主机共用管理员口令、在同一个安全组或 VPC 里互通、同属一个域？
• 虚拟化宿主机、备份服务器、NAS 有没有被登录过？

域控已经出现陌生账号登录、批量下发的计划任务或组策略时，要按 域控失陷全网加密 处理；被加密的是 ESXi、Hyper-V 宿主机上的虚拟磁盘时，处置重点在数据存储，见 虚拟化平台被加密。同网段的 Linux 服务器与宝塔面板主机也要一并排查，要点见 Linux 服务器中了勒索病毒怎么办。

能用，但要先弄清它们各自的处境，再决定怎么用。

卷影副本（VSS）多半已被删除，但值得逐台确认。 删除卷影副本、关闭系统恢复是勒索软件的常规动作，MITRE ATT&CK 把它归入「抑制系统恢复」（T1490），vssadmin、wmic、wbadmin 都是常被滥用的系统工具。删除并不总能成功，每台服务器、每个卷都要看。查询用 vssadmin list shadows 这类只读命令即可；发现幸存的副本时，把需要的文件复制到另一块盘上，不要把整个卷还原回原位置。

云盘快照由云平台管理，服务器内的加密程序通常碰不到。 这是云服务器的一大优势，但有两个前提：一是控制台账号和 AccessKey 没有泄露，否则攻击者可以直接删快照，而快照删除后不可恢复；二是快照没有被你自己连带删掉——阿里云文档写明，释放实例或云盘时，设置了随云盘释放的自动快照会一起被删除。

历史快照不等于干净的快照。 从入侵到加密往往隔着几天甚至更久，加密前一天的快照里很可能已经有新增账号、远控工具和计划任务。原地回滚还有三个问题：回滚不可逆，快照之后的数据会被清除；原盘上的证据被覆盖；腾讯云对已挂载的云硬盘回滚还要求实例先关机。更稳妥的顺序是：

1. 先给当前状态做快照（见上方步骤）；
2. 用候选的历史快照创建新云盘，作为数据盘挂到隔离安全组里的新实例上；
3. 在新云盘上检查账号、计划任务、服务与远控工具，对照入侵时间线确认这份快照是否早于入侵；
4. 确认干净后，只从中提取业务数据，迁移到新建或重装的服务器上。

备份服务器与备份文件也被删除或加密时，参考 备份被破坏怎么办 逐项清点其他数据来源。

恢复顺序由业务依赖决定，而不是哪台先修好就先上哪台。美国 CISA 的勒索软件应急指南同样建议：按事先确定的关键资产清单排定恢复优先级，并在干净的网络中恢复。常见排序如下：

几条实操原则：

• 先恢复数据，再恢复服务器。 被入侵过的服务器原则上重建，而不是清理后继续使用；数据从快照、备份或修复结果中提取，迁移到新实例上。
• 恢复出来的系统先进隔离网段。 确认没有残留后门、补丁打齐、凭据更换之后再切回生产。
• 数据库单独走一条线。 SQL Server、MySQL、Oracle 数据文件被加密后的页级修复与日志回放，见 数据库被勒索病毒加密；文件服务器与 NAS 见 服务器与 NAS 被加密。

「能不能先让业务跑起来」是最常被问到的问题。可以和调查并行，前提是原服务器保持隔离不动，恢复发生在另一台干净的主机上。

阿里云 ECS、腾讯云 CVM、华为云 ECS 的控制台操作大同小异。下面几件事只能在控制台上做，而且决定了后面还剩多少可用的素材：

• 用安全组隔离，而不是关机。 入方向和出方向都收紧到应急人员的固定 IP，不需要的端口一律关闭，收紧后再确认已经建立的远程会话是否仍在。需要登录系统时可以用控制台自带的管理终端，以阿里云为例，VNC 连接不受安全组设置限制。
• 所有操作之前先打快照。 CISA 的指南建议对云上资源的磁盘做快照，留下可供取证的时间点副本；阿里云的防勒索指南也把为遭遇勒索病毒的实例系统盘及数据盘创建快照列为处置动作。
• 防止实例被误释放。 阿里云按量付费实例可以开启释放保护，拒绝通过控制台、API 或 CLI 发起的手动释放请求；这项保护只针对手动释放，欠费等情况下仍会失效。
• 换钥匙并查审计。 在干净的电脑上更换主账号和子账号密码、开启多因素认证，轮换服务器上保存过的 AccessKey。随后查操作审计：新建的子账号、AccessKey、附加的权限策略，通常意味着攻击者在留后门；被删除的快照、镜像与新建的实例也要一并核对。
• 确认防勒索备份还在。 之前开通过阿里云云安全中心的防勒索备份、华为云主机安全的勒索备份或云备份（CBR）的，先在控制台确认备份版本的时间点，同样恢复到新实例而不是原实例。

这些动作替代不了服务器内部的取证与恢复，但能保证后面的每一步都有退路。