服务器中勒索病毒后数据恢复：某工厂ERP服务器整机被加密，补天时代从只读副本与残留数据双线救回生产数据

勒索病毒找上工厂，目标通常很明确：ERP、生产库、共享文件，这些一旦停摆，产线当天就乱。

9 月一个周四深夜，东莞一家五金厂的机房值班员发现 ERP 服务器风扇狂转、磁盘灯全亮，屏幕上弹出一封勒索信：文件已被加密，索要比特币。天亮后工厂发现，ERP 数据库、共享盘里的图纸和工艺文件、甚至同机挂载的备份卷，后缀全变了，一个都打不开。

客户上午十点联系我们，电话里的指令有四条：第一，立刻物理断网，防止勒索程序继续扩散到车间终端和其他服务器；第二，不要重启、不要重装、不要格式化，加密程序可能还驻留在内存和磁盘上，现场越完整，恢复线索越多；第三，不要付赎金，付了也未必拿得到密钥，还可能被二次勒索；第四，把服务器原盘保护好，等工程师上门。

中午我们到场取回全部磁盘。检测确认，ERP 数据库文件被整体加密，但工厂有一台用于质检数据同步的隔离机器上留有三天前的只读副本——这是第一条恢复线；同时，勒索程序加密的是文件本体，磁盘上一些被删除的旧版本文件和临时文件尚未被完全覆盖——这是第二条线。

处置分两条线并行。一条线把只读副本回滚到新实例，作为数据基线；另一条线对磁盘做逐扇区镜像，用数据雕刻工具从底层提取残留的旧版本文件，按文件名、大小、时间戳与基线比对合并。三天后，ERP 数据库恢复到加密前三天的一致状态，图纸和工艺文件找回了九成以上，缺失的部分由客户纸质档案补录。

工厂停线四天，比最坏预期短了一半。复盘这个案例，能保住数据的两个前提是：有一份与业务网络隔离的只读副本，以及出事之后没有人乱动现场。补天时代专注服务器数据恢复二十余年，累计恢复硬盘 2 万个、服务器及存储 3000 台，勒索病毒事故先断网隔离、再电话求助，别重启别付赎金；深圳本地可上门取机，外地可快递寄修，先检测后报价、不成功不收费，电话 13802255378（微信同号），节假日照常响应。