应立即断网隔离设备，进入安全模式终止恶意进程，用离线杀毒工具扫描，识别勒索软件类型并使用官方解密工具，最后尝试影子副本恢复文件。
如果电脑感染病毒导致文件被加密无法打开，说明系统可能已被勒索软件攻击。此时需立即切断网络连接防止进一步扩散，并采取隔离与解密双轨操作。以下是具体应对步骤：
一、立即断网并隔离受感染设备
阻止勒索软件继续联网通信、上传密钥或横向传播至其他设备是首要动作。物理断开网络可有效遏制加密行为升级和数据外泄风险。
1、拔掉以太网网线或关闭Wi-Fi开关。
2、禁用蓝牙功能，避免通过短距协议扩散。
3、若为域环境，立即将该主机从域中移除并下线。
4、使用另一台干净设备登录同一局域网的路由器后台，封锁该主机的MAC地址。
二、进入安全模式启动并终止恶意进程
在常规模式下部分病毒进程持续运行并监控系统行为，安全模式可加载最小驱动集，便于识别和清除活跃的恶意组件。
1、重启电脑，在Windows启动徽标出现前反复按F8键（Win10/11需强制关机三次触发恢复环境）。
2、选择“疑难解答”→“高级选项”→“启动设置”→“重启”，之后按4键启用安全模式。
3、按下Ctrl+Shift+Esc调出任务管理器，切换到“详细信息”标签页。
4、按CPU或磁盘使用率排序，查找名称异常（如随机字符串、伪装为svchost.exe但路径不在C:\Windows\System32\下）的进程。
5、右键结束可疑进程，并记录其完整路径和命令行参数供后续分析。
三、使用离线杀毒工具进行全盘扫描
在线杀软可能因病毒注入或Hook机制失效，而基于独立内核的离线扫描工具可绕过运行时防护直接读取磁盘原始扇区，提升检出率。
1、在未感染设备上下载ESET SysRescue Live ISO镜像，刻录至U盘（使用Rufus选择DD模式写入）。
2、将U盘插入中毒电脑，重启并从UEFI/BIOS中选择U盘启动。
3、进入图形界面后点击“Scan computer”，勾选“Scan for potentially unwanted applications”和“Deep scan”。
4、扫描完成后，对所有标记为Win32/Filecoder、Trojan.Ransom等类别的条目执行“Remove”操作。
5、重启前点击“Save log to USB drive”，保留日志用于解密工具匹配。
四、识别勒索软件类型并匹配官方解密工具
不同家族勒索软件采用的加密算法、密钥存储方式存在差异，部分已由安全厂商逆向成功并发布免费解密器，需依据样本特征精准匹配。
1、访问ID Ransomware网站（https://id-ransomware.malwarehunterteam.com），上传一个被加密文件及对应加密后扩展名（如.locked、.zepto）。
2、同时上传桌面壁纸截图或勒索信文本（注意勿上传真实文档内容），系统将自动比对已知数据库。
3、若识别结果为STOP/Djvu、Phobos、Snatch等支持解密的家族，页面会直接提供NoMoreRansom项目对应的解密工具下载链接。
4、下载对应解密器（如STOPDecrypter、PhobosDecryptor），解压后以管理员身份运行，按提示选择加密文件所在目录。
5、必须确保原始加密程序已完全清除且未再次运行，否则解密过程可能被中断或覆盖密钥。
五、尝试影子副本恢复未加密版本文件
Windows系统默认启用卷影复制服务（VSS），在加密发生前若曾生成快照，则原始文件可能仍存在于隐藏的Shadow Copy中，无需解密即可还原。
1、右键点击被加密文件所在分区（如C:），选择“属性”→“以前的版本”选项卡。
2、查看列表中是否存在时间戳早于感染时刻的还原点，确认后点击“还原”按钮。
3、若“以前的版本”为空，打开命令提示符（管理员），输入vssadmin list shadows检查底层影子副本是否存在。
4、执行mklink /d C:\shadowcopy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopyX\（X替换为实际编号）建立映射。
5、进入C:\shadowcopy目录，手动定位原始路径结构，复制所需文件至安全位置。
