STOP / Djvu 勒索病毒解密与数据恢复

个人与小微企业场景的第一反应往往是「上网搜工具、下载杀毒软件」——这恰恰会降低恢复成功率，因为每一次写盘都可能覆盖掉可恢复的原始文件片段。

正确顺序是：立即停止使用这台电脑并断开网络（防止信息窃取木马继续外传数据）；拔掉外接移动硬盘与 U 盘；断开映射的网络共享。若有条件，直接关机并把硬盘取出，挂到另一台干净电脑上做只读镜像，后续所有操作都在镜像上进行。

取证固定：保留 _readme.txt 原件（personal ID 是判断离线/在线密钥的关键）、记录加密后缀、保存若干加密样本与同名未加密原件（如果能找到）、记录中招前运行过哪些程序（破解工具、激活器、下载的安装包）。这些信息对判定变种与解密可行性都有用。

STOP/Djvu 的识别通常很快：四位小写字母后缀 + _readme.txt 勒索信 + 固定报价与 72 小时期限，基本可以确认。需要确认的是具体变种（由后缀决定）与密钥类型。

密钥类型判定是这一步的核心：打开 _readme.txt 查看 personal ID，若以 t1 结尾，通常表示使用了内置的离线密钥，Emsisoft 解密器有机会成功；若不是 t1 结尾，多为在线密钥，无法解密。这只是初步判断，最终结论以工具实测为准。

同时要评估信息窃取的影响范围：这台电脑上登录过哪些账号、浏览器保存了哪些口令、是否存有加密货币钱包或企业系统凭证。这部分风险独立于数据恢复，需要并行处理。

另外确认加密范围：本机哪些磁盘被加密、是否波及映射的网络共享与外接硬盘、同一网络中其他电脑是否受影响（STOP/Djvu 本身不横向传播，若多台同时中招通常是各自运行了同一个来源的程序）。

按路径分桶评估：

• 离线密钥可解：用 Emsisoft STOP Djvu Decryptor 在副本上试解，确认可解范围与所需时间；
• 在线密钥：如实说明无法解密，转向其他路径，并建议保留加密文件存档——未来该变种的离线密钥若被收录，部分文件仍有机会；
• 云盘与备份：核查云端版本历史、回收站、外接硬盘、手机平板副本、聊天工具文件记录；
• 大文件部分可用：对视频、镜像、压缩包等按类型实测，评估修复文件头或提取未加密部分的可行性；
• 碎片恢复：在只读镜像上评估被删除原文件的可恢复比例；
• 确定不可恢复：明确列出。

方案还应包含账号安全处置清单：需要在干净设备上修改哪些口令、哪些账号需要开启多因素认证、哪些需要检查异常登录记录。对小微企业还要评估客户资料泄露的影响与告知义务。

全程在只读镜像或副本上操作，原盘保持不动。

• 解密执行（离线密钥适用时）：分批解密，每批完成即验证文件可打开性；优先处理业务必需文件（合同、账务、客户资料、设计源文件）；
• 云盘与备份恢复：从云端版本历史与回收站恢复，注意确认恢复的是加密前的版本；
• 大文件修复：对视频、镜像、压缩包按类型做文件头修复与未加密部分提取，产出可用片段并逐个验证；
• 碎片恢复：在镜像上扫描被删除的原文件，按类型归档并校验可用性；
• 交叉补齐：从手机、平板、邮件附件、聊天记录中补充缺失文件。

交付时提供清单：哪些文件已完整恢复、哪些为部分可用、哪些确认丢失。对小微企业还需按业务类别整理（客户资料、合同、账务、设计稿），便于评估实际业务影响。

系统清理：建议在完成数据恢复后重装系统，而不是在已中招的系统上继续使用——STOP/Djvu 常伴随信息窃取木马与其他捆绑程序，彻底清理很难确认。重装前确认数据已完整备份到干净介质。

账号安全（这一步不能省）：在另一台干净设备上，逐一修改邮箱、网银与支付、社交与聊天、云盘、企业系统、加密货币钱包的口令，并开启多因素认证；检查各账号的异常登录记录与授权设备；清理浏览器保存的口令并改用口令管理器。

加固建议：

• 使用正版或开源软件，彻底停用破解工具与激活器——这是根本原因；
• 不要运行任何要求关闭杀毒软件的程序；
• 安装并保持安全软件常开，开启实时防护；
• 建立备份习惯：重要资料同步到带版本历史的云盘，同时定期备份到移动硬盘并备份完即断开；
• 小微企业建议把客户与业务资料集中到有版本控制与权限管理的平台，不要只存在个人电脑上。

最后出具处置报告，包含恢复清单、账号处置清单与防护建议。