中了勒索病毒怎么办：24 小时应急处置清单

中了勒索病毒之后，最值钱的动作不是"救数据"，是"别动"。按时间轴做对以下动作，能避开 90% 的坑。

两个核心原则（先记住）

原则一：可以断网，但千万不要断电。大部分勒索病毒在不断电的情况下是可以恢复的——加密进程的内存里可能残留密钥材料，这是技术恢复里唯一"以小博大"的机会；断电重启一次，线索永久清零。正确做法是断网隔离、保持通电。

原则二：不联系黑客、不支付赎金。付了不保证给真工具，有合规风险，还助长产业链。恢复从备份、免费解密、技术恢复三条路评估。

黄金 10 分钟：止血

拔网线/断 WiFi，阻止加密进程继续跑、阻止横向感染；手机拍照留证（勒索信弹窗、加密文件后缀——只拍不动）；通知负责人并当场指定唯一对接人，后面所有操作只允许这一个人执行。

第 1 小时：保现场

快速清点受灾范围：几台终端、几台服务器、共享盘、备份系统有没有中招——备份幸存与否直接决定走哪条路。保全证据三件套：勒索信原文、2~3 个加密文件样本、系统日志，用一次性 U 盘拷出（这 U 盘别再插任何好机器）。冻结所有写入：中毒机器不装软件、不拷文件、不扫毒。

第 1 天：定方向

两条电话尽早打：报警立案 + 通知网络保险经纪（保险条款常写着"未及时报案不赔""私付赎金不赔"）。把勒索信和后缀拿到 No More Ransom 等权威机构站点鉴定家族——一半以上的案例到这一步就发现免费工具能用。然后按顺序评估四条路线：备份还原 → 免费解密 → 技术恢复 → 谈判赎金（最后手段）。选服务商四查：实体门店、不成功不收费、书面锁定报价、有验收标准。

恢复之后：最容易二次中招的环节

验收以业务实际可用为准（关键文件逐个打开、业务系统跑通），不要"文件能解密"就付全款。必须要两份文件：恢复报告 + 安全整改报告——入侵入口没堵，同一个团伙回访率不低，而且第二次加密往往更彻底。备份体系重建：离线备份、异地备份、不可变备份（immutable）或带气隙的备份，至少要落一样。