WannaCry 勒索病毒解密与数据恢复

没有通用的免费解密工具。历史上存在 WanaKiwi / WanaKey 这类方案，原理是从仍在运行的受感染主机内存中搜索 RSA 私钥生成时残留的素数并重建密钥，但适用条件极其苛刻：主机自加密以来从未重启、从未关机，且相关内存页未被覆盖，主要针对 Windows XP / 7 等旧系统上的特定实现。

绝大多数事后求助的案例——服务器早已重启、或为了隔离直接断了电——这条路已经不可用。因此实际处置应转向：备份与快照恢复（WannaCry 案例中备份完好的概率相对较高，因为传播依赖漏洞而非凭证）、未感染主机上的数据基线、底层碎片恢复、以及大文件的实测修复评估。

原始攻击行动确实早已停止，开关域名也仍在被维护，但 WannaCry 的传播不需要攻击者参与——它是蠕虫，只要样本还在运行、445 端口在内网可达、目标主机未打 MS17-010 补丁，就会自动继续扩散。

国内今天仍会中招的典型场景有三类：一是内网中某台老旧主机上残留感染源，联网后继续扫描感染；二是出于厂商兼容性要求无法升级的专用设备（医疗影像工作站、工控上位机、检测终端、老旧一体机）常年运行 Windows 7 / Server 2008 / XP；三是外包人员或供应商设备接入内网时带入样本。

根治办法只有三条：打补丁、全网封禁 445/139 端口、对无法打补丁的设备做独立网段隔离。

这是 WannaCry 与其他勒索家族处置建议不同的一点。如果主机还在开机运行，正确的第一步是断网而不是关机。 因为 WanaKiwi 类工具依赖内存中残留的 RSA 素数，一旦关机或重启，这条恢复路径就彻底消失。

推荐顺序是：物理拔掉网线或禁用网卡（阻止蠕虫继续扩散）→ 联系应急团队并制作内存镜像 → 再评估是否需要关机。如果主机已经关机或重启过，那么内存路径已不可用，此时按常规处置即可，重点转向备份清点与碎片恢复，同时不要在原盘上做任何写入操作。

同时在网络侧立刻阻断内网 445/139 端口互通，这一步比单台主机的处置更紧急，因为它决定还有多少主机会被感染。

这是国内最真实的难题：医疗影像工作站、工控上位机、检测设备终端等系统往往由设备厂商锁定，升级或打补丁会导致失去支持甚至设备无法使用。可行的做法是用网络与主机控制替代补丁：

• 独立网段隔离：把这类设备放入专用 VLAN，通过防火墙严格限制进出流量，禁止 445/139 端口跨段通信；
• 最小化连通：只开放设备实际需要的业务端口与目标地址，其余全部拒绝；
• 控制外部介质与接入：禁用无关 USB 接口，外包与供应商设备接入前必须检查；
• 主机层加固：关闭不需要的 SMBv1 服务（很多设备其实并不依赖它）、启用应用白名单；
• 数据侧兜底：这类设备产生的数据定期同步到受保护的存储并做离线备份，把数据价值与设备本身解耦；
• 与设备厂商推进升级计划，把补丁兼容性纳入采购与续保条款。

即便设备本身无法加固，只要 445 端口不可达，WannaCry 就无法传播进来。

看几个关键差异。WannaCry 的特征是：后缀 .WNCRY、勒索信 @Please_Read_Me@.txt、红色倒计时弹窗界面、只给比特币地址不给邮箱、受害主机集中在未打 MS17-010 补丁的老旧系统上、445 端口有大量异常连接、且没有任何人工渗透痕迹——没有 RDP 爆破日志、没有攻击者新建账号、没有 Mimikatz 或横移工具。

人工投毒家族（Phobos、Makop、BeijingCrypt、LockBit 等）的特征相反：安全日志里能看到 RDP 或数据库端口的爆破记录、有新建的管理员账号、有内网扫描与横移工具的痕迹、勒索信提供联系邮箱或 Tor 门户、且被加密主机往往有共享凭证关系。

这个区分直接决定处置方向：WannaCry 要优先封端口打补丁、评估内存取密钥；人工投毒则要优先清除后门账号与持久化、排查数据是否外传。把勒索信、几个加密样本和安全日志交给应急团队，通常数小时内可以定性。