勒索病毒恢复的禁忌：确诊之前别动现场

勒索病毒恢复的禁忌其实就一条主线——"在确诊之前，别动现场"。所有的错误操作都源于恐慌性自救，而恐慌性自救做的事，件件都在替黑客销毁证据。按"踩了就没救"的程度分级：

现场破坏类（踩了直接降低成功率）

最致命：不要格式化、不要重装系统、不要一键还原——加密文件、残留的原文件碎片、勒索信、日志全没，后面所有手段全部作废；哪怕系统卡得要死，忍着。不要关机、不要重启——内存里的密钥线索重启一次永久清零，正确做法是断网不拔电。不要让中毒机器继续运行——不少勒索软件分批加密、定时执行，每多写一笔，磁盘空闲区里的原文件残留就被覆盖一笔。不要删加密文件、不要删勒索信——勒索信是鉴定家族的唯一线索，删了等于撕了病历。不要给加密文件改后缀名——解密工具靠文件头特征识别，改后缀干扰鉴定。不要在原机上直接试解密工具——解密工具本身也可能损坏文件，所有尝试必须在副本上做。

操作污染类

不要先装杀毒软件全盘清理——顺序错了：先取证（样本、日志、内存镜像），后杀毒。不要往中毒机器插 U 盘、移动硬盘——蠕虫化家族会顺手把 U 盘也加密，形成交叉感染。不要多人多管齐下乱试——管理员试一遍、IT 外包试一遍、老板朋友再试一遍，每个人覆盖一遍别人的操作记录。指定一个人对接，其他人住手。

决策类（钱包和法律风险）

不要轻信搜索引擎和短视频里的"解密中介""黑客团队"——这个细分领域骗子密度全网最高：收了钱拉黑的是良心，拿你的文件样本转卖给下一个团伙、顺手再勒索你一次的才恶心。不要先付款后验货——真要谈判，铁律是拿到解密工具先在样本上跑通，再谈钱。不要在谈判中暴露真实身份、数据价值和企业规模——报价是按支付能力定的，说漏一个字价码翻几倍。不要不报案私了——警方手里可能正好有你这个家族的密钥，立案材料也是保险理赔和合规审计的依据。不要私下用个人卡付赎金——对公账户、流水留痕、法务知情，三缺一回头都是麻烦。

时效类

不要拖——部分家族的密钥服务器随时可能被端或关闭，免费工具有时效；残留数据每多待一天，被覆盖的风险大一分（固态盘 TRIM 清得飞快）。不要等"过两天再看看"——勒索的加密是持续过程，早发现一小时，少加密一批文件。

恢复之后

不要补完数据就直接上线——入口没堵，同一个团伙打你第二次的概率不低，而且第二次加密往往更彻底（他们留了后门知道你能付）。不要恢复了数据却不建备份——被打一次是倒霉，被打两次是活该：离线备份、异地备份、快照策略，至少要落一样。