文件被勒索软件加密：止损、判断与数据恢复思路
一觉醒来，文档全变成奇怪后缀，桌面留下『FILES ENCRYPTED』的勒索信，要求比特币解锁。慌乱中很多人会去付款，但付费既不保证恢复，还可能被二次标记。本文给出冷静的应对框架，把损失降到最低。
一、立即止损：隔离而非慌乱
- 立刻 断网、关 Wi-Fi、拔网线，阻止勒索软件继续加密或横向传播。
- 对仍在加密的机器 强制关机，保留内存与磁盘现状便于后续分析。
- 用另一台干净电脑 改所有重要账号密码（邮箱、网盘、VPN）。
二、识别家族，找免费解密可能
- 记下 文件新后缀和勒索信内容，到 NoMoreRansom.org 上传样本比对家族。
- 该站点汇总了 多家厂商的免费解密工具，部分老家族（如 GandCrab、早期 STOP）可直解。
- 把加密样本和勒索信 打包留存，供后续取证或解密器更新后使用。
三、优先从备份与系统机制恢复
- 检查是否有 离线备份或冷备份（外接硬盘、NAS 快照），这是最可靠来源。
- 试 卷影副本（Shadow Copy）：vssadmin list shadows 看是否留有可还原快照。
- 用 以前版本 右键菜单尝试回滚文件夹（若系统还原开启）。
- 云同步盘查看 历史版本，OneDrive、iCloud、网盘多支持版本回溯。
四、绝不轻易付款的原则
- 付款 不保证解密，且会助长黑色产业，还可能被标记为『肯付钱的目标』。
- 若数据极重要且无备份，可先 等解密器更新，许多家族日后被破。
- 事后务必 重装系统、打全补丁、排查入侵入口（弱密码、暴露的 RDP 端口等）。
技术总结：中勒索后先断网隔离止损，再用 NoMoreRansom 查免费解密器，优先从离线备份和卷影副本恢复；付款是最后选项且风险高，真正的防线始终是事前异地备份。