核心要点（TL;DR）
- 先隔离再溯源，最后恢复，顺序颠倒会造成二次加密与证据丢失。
- 隔离优先断网卡与挂载点，不要直接关机，避免内存证据丢失。
- 溯源重点查计划任务、启动项、SSH 登录日志与 Web 目录写入痕迹。
- 恢复只用离线干净备份，恢复后立即改密、打补丁并复测。
凌晨收到监控告警，登录服务器发现文件后缀被批量篡改、目录里躺着勒索信——这是运维最不想面对的场面。此时最大的风险不是加密本身，而是慌乱中的错误操作：直接重启、盲目恢复备份、把机器重新接回公网，往往导致二次加密或证据彻底丢失。本文按隔离、溯源、恢复的真实处置顺序，给出可直接照做的命令与检查清单，帮助运维和站长在勒索病毒应急中把损失压到最低。
第一步：隔离——先止血，别急着关机
隔离的目标是阻断横向扩散和继续加密，同时尽量保留现场。优先级是：断网络、断共享、断挂载，最后才考虑关机。
- 物理隔离：拔掉网线，或在虚拟化平台把网卡断开；云主机可在控制台解绑公网 IP 并收紧安全组。
- 逻辑隔离：
ip link set eth0 down临时禁用网卡；umount /mnt/nas卸载共享存储，防止加密蔓延到备份盘。 - 保留现场：先执行
ps aux --sort=-%cpu | head -30、ss -antp、crontab -l记录异常进程与连接，再决定是否关机。 - 通知与止损：立即通知业务方停写，检查同网段其他主机是否出现同名勒索信。
切记：不要格式化、不要删除勒索信、不要在原机上下载所谓“解密工具”，这些操作都会破坏证据链。
第二步：溯源——找到入口，才谈得上根治
勒索病毒只是结果，入口才是病根。常见入口是暴露的 RDP/SSH 弱口令、Web 上传漏洞、VPN 设备漏洞和钓鱼邮件。按下面清单逐项排查：
- 登录日志：
last -a、grep "Accepted" /var/log/auth.log，重点看异地 IP 与异常时间段的成功登录。 - 持久化位置：
crontab -l、ls -la /etc/cron.*、systemctl list-unit-files --state=enabled、cat /etc/rc.local。 - Web 痕迹：检查上传目录中近期新增的
.php/.jsp/.sh文件，结合 Nginx 访问日志定位可疑 POST 请求。 - 文件时间线：
find / -mtime -3 -type f -name "*.exe" -o -mtime -3 -name "*.sh"，锁定近期落地样本。 - 样本留存：把可疑二进制与勒索信打包，计算
sha256sum后离线保存，便于后续研判。
| 入口类型 | 典型痕迹 | 处置动作 |
|---|---|---|
| SSH/RDP 弱口令 | 大量失败后一次成功登录 | 改密、禁密码登录、限制来源 IP |
| Web 上传漏洞 | 上传目录出现 webshell | 下线站点、修复代码、清马 |
| 计划任务植入 | cron 中出现下载执行命令 | 删除任务、排查下载源 |
第三步：恢复——顺序错了等于白干
恢复必须建立在“入口已封堵、环境已干净”的前提上。推荐顺序：干净系统 → 安全基线 → 分批数据 → 验证上线。
- 重建系统：优先重装或从镜像还原，不要在被入侵的系统上打补丁了事。
- 安全基线：改所有账号密码、关闭 3389/22 公网暴露、补齐补丁、启用多因素认证。
- 数据恢复：只使用离线或不可变备份，按业务优先级分批恢复，每批做完整性校验。
- 验证上线：先在隔离网段试运行，确认无异常外联与加密行为，再逐步放量接入公网。
在防护建议上，可在恢复阶段同步部署主机层防护：例如 AegisX 的异常进程监控、暴力破解拦截与基线核查能力，能在入口被封堵后持续盯住横向移动与二次入侵，减少“恢复了又被加密”的循环。
处置检查清单
- 已断网、已卸载共享挂载、已记录进程与连接。
- 已留存勒索信、样本哈希与关键日志。
- 已定位首个失陷点并封堵对应入口。
- 已确认备份可用且未被加密。
- 已重装系统、改密、打补丁、关闭高危端口。
- 已分批恢复并完成业务验证与监控接入。
行动建议
勒索病毒应急的核心是顺序：先隔离止血，再溯源找入口，最后用干净备份恢复。建议今天就把这份清单固化成应急手册，提前验证备份可恢复性、收敛公网暴露面、开启登录告警；真出事时，按流程执行比临场发挥更能保住业务。
常见问题（FAQ）
服务器中勒索病毒后能不能直接重启或关机？
不建议直接关机。关机虽能中断加密进程，但会丢失内存中的进程、网络连接与加密密钥线索，给溯源带来困难。正确做法是先物理或逻辑断网（禁用网卡、拔网线、卸载挂载），保留现场，再在可控环境下抓取内存与进程信息，最后才决定是否关机。
服务器已经被加密，还需要保留被加密的文件吗？
需要保留。被加密文件、勒索信、异常样本和日志都是溯源与后续解密评估的关键证据。建议先对整个磁盘做镜像或快照，再操作业务数据。很多勒索家族存在解密工具或密钥泄露的可能，保留原始样本能提高恢复概率，切勿直接格式化重装。
恢复数据时应该先恢复哪部分？
先恢复系统与安全基线，再恢复业务数据。顺序是：重装或还原干净系统、打补丁改密码、部署防护，然后按业务优先级分批恢复数据，每批恢复后验证完整性。切忌把旧数据整体覆盖回未清理的环境，否则残留后门会再次加密。
如何判断勒索病毒的入侵入口？
常见入口包括暴露的 RDP/SSH 弱口令、Web 应用漏洞、VPN 设备漏洞和钓鱼邮件。排查时重点看登录成功日志、Web 访问日志中的上传与命令执行痕迹、计划任务与启动项的新增记录，以及最近修改的可执行文件，结合时间线锁定首个失陷点。
恢复后怎样防止再次被加密？
恢复后必须完成四件事：关闭公网暴露的高危端口、强制改所有账号密码并启用多因素认证、补齐系统与中间件补丁、部署主机防护与离线备份。建议用 AegisX 类主机安全能力做基线核查与异常进程监控，并定期演练备份恢复。