核心要点（TL;DR）

• 发现勒索加密先断网保内存，切勿急着重启或删除文件。
• 取证优先固定内存、日志与加密样本，为溯源和报案留证据。
• 恢复前必须确认备份未被污染，并先清除持久化后门。
• 处置完成后要修补入口并做离线备份，防止二次加密。

凌晨收到监控告警，登录服务器发现文件后缀被改成 .locked，桌面躺着勒索信——这是运维最不想面对的一幕。慌乱中重启、删文件、直接重装，往往让证据丢失、二次加密发生、恢复窗口被压缩。本文按隔离、取证、恢复、加固四步，给出可直接照做的命令与检查清单，帮你在最短时间内止损并保住可恢复的数据。

第一步：立即隔离，但别急着关机

勒索病毒的第一目标是扩散和加密，第一原则是断网保内存。发现异常后不要关机、不要拔电源，先切断网络：

• 物理机：拔掉网线，或在接入交换机上 shutdown 对应端口。
• 云主机：在控制台安全组中删除所有入站/出站规则，或直接解绑公网 IP。
• 虚拟化环境：将该 VM 的网络适配器断开，但保持虚拟机运行。

隔离范围要覆盖同网段可疑主机，尤其是有 SMB 共享、域控、备份服务器的主机。随后立即记录当前时间、发现人、异常现象，作为事件时间线起点。

常见错误：直接 reboot 或 rm -rf 被加密文件。前者丢失内存证据，后者破坏文件时间线，都会让溯源和恢复更困难。

第二步：取证固定，先留证据再动手

取证的目标是回答三个问题：从哪进来、加密了哪些、有没有后门。在隔离状态下按顺序采集：

1. 内存与进程

ps auxf > /evidence/ps.txt
ss -antp > /evidence/net.txt
ls -l /proc/<可疑PID>/exe > /evidence/exe_link.txt
cat /proc/<可疑PID>/maps > /evidence/maps.txt

有条件时用 LiME、AVML 等工具做内存镜像，重点保留加密进程与网络连接。

2. 日志与文件时间线

cp -a /var/log /evidence/logs/
find / -xdev -newermt "2024-01-01" -type f -printf '%T+ %p\n' | sort > /evidence/timeline.txt

Windows 主机重点导出安全日志、Sysmon、RDP 登录记录与计划任务。

3. 样本与勒索信

找到加密程序本体、勒索信、加密后文件各保留一份，计算哈希后打包：sha256sum sample > sample.sha256。样本不要在本机运行，提交安全厂商或沙箱分析。

第三步：评估加密范围与入口

取证同时并行排查入口，常见入口与对应检查点如下：

同时统计被加密文件的数量、类型与最后修改时间，判断加密是否仍在进行，确认备份卷、数据库数据文件是否受影响。

第四步：从可信备份恢复业务

恢复的前提是备份干净、后门清除、入口关闭，顺序不能颠倒：

1. 确认备份时间早于入侵时间，且备份存储未挂载在被感染主机上。
2. 清除持久化：检查 crontab -l、systemctl list-unit-files、/etc/rc.local、计划任务与新增账号，删除可疑项。
3. 在隔离网段先恢复一台验证，确认无异常外联后再接入生产。
4. 恢复后立即修改所有相关密码与密钥，关闭公网 RDP/数据库端口。

没有可用备份时，可尝试用文件恢复工具抢救未被覆盖的原始数据，但成功率取决于写入量，越早停写越好。

第五步：加固防复发（检查清单）

• 公网暴露面收敛：RDP、SSH、数据库仅限跳板机或白名单访问。
• 补丁与弱口令治理：操作系统、中间件、Web 应用及时更新。
• 备份 3-2-1：至少一份离线或不可变存储，定期做恢复演练。
• 最小权限：日常账号不用管理员，服务账号禁止交互登录。
• 监测告警：对批量文件改名、异常加密行为、异常外联设置告警。

在边界防护上，可结合 AegisX 的 WAF 与主机入侵检测能力，对 Web 入口攻击和异常进程行为做拦截与告警，把处置窗口前移到加密发生之前。

行动建议：今天就把“断网隔离、取证命令、备份验证”三件事写成一张应急卡片贴在值班群，并确认最近一次备份可恢复。勒索病毒拼的不是技术上限，而是响应速度和备份可靠性。

常见问题（FAQ）

服务器中勒索病毒后第一件事该做什么？

第一件事是隔离网络而不是关机。立即拔掉网线或在交换机/安全组上封禁该主机流量，保留内存中的进程、网络连接与加密程序痕迹。直接关机或重启会丢失内存证据，也可能中断正在进行的加密进程日志。隔离后再判断加密范围、联系负责人并启动应急流程。

勒索病毒加密的文件还能恢复吗？

多数情况下无法直接解密，除非找到公开的解密工具或攻击者泄露密钥。优先从离线备份、快照、异地副本恢复；若备份也被挂载在同一网络，需先确认未被加密污染。不要向攻击者支付赎金，支付既不保证解密，也可能招致二次攻击。可保留加密样本提交安全厂商分析。

怎么判断勒索病毒是从哪个入口进来的？

重点查三类痕迹：暴露在公网的服务（RDP、VPN、Web 应用、数据库）的登录与漏洞日志；Web 目录下的 webshell 与异常上传文件；以及内网横向的 SMB、WMI、PsExec 连接记录。结合文件时间线、进程启动记录和账号登录日志，通常能定位初始入口与横向路径。

恢复业务前必须做哪些检查？

恢复前至少确认三点：备份数据未被加密或植入后门；主机上的持久化项（计划任务、服务、启动项、账号）已清除；入口漏洞已修补或端口已关闭。建议先在隔离网段恢复验证，再接入生产。否则很可能恢复后几小时内被同一入口再次加密。

小团队没有安全团队怎么应急？

按“隔离—取证—恢复—加固”四步走即可：先断网保留现场，再拷贝日志和样本，然后从可信备份恢复，最后关掉公网 RDP、改强密码、打补丁并做离线备份。过程中记录时间线和操作，便于后续复盘或报案。必要时联系云厂商或专业应急响应服务。