确认遭遇勒索病毒攻击后，应立即断网隔离、识别病毒家族并检索解密工具、尝试恢复卷影副本与云盘历史版本、启用专业数据恢复扫描、彻底清除残留并重建系统环境。
如果您发现电脑中多个文件被批量重命名，后缀统一变为“.locked”，且同时出现勒索信、桌面背景更换或无法正常打开文档等现象，则极可能遭遇了勒索病毒攻击。以下是针对该情况的紧急应对策略：
一、立即断网并物理隔离设备
阻止病毒进一步扩散至局域网内其他终端，是遏制损失扩大的首要动作。勒索病毒常利用SMB、RDP等协议横向移动，断网可有效切断传播链。
1、拔掉网线或关闭Wi-Fi开关，禁用所有网络适配器
2、关闭Windows共享功能：进入“控制面板 > 网络和Internet > 网络和共享中心 > 更改高级共享设置”，关闭“网络发现”与“文件和打印机共享”
3、若为域环境，立即联系IT管理员下线该主机，并暂停其域账户登录权限
4、移除所有外接存储设备（U盘、移动硬盘），避免其被二次感染
二、确认病毒家族并检索解密工具
“.locked”后缀并非单一病毒独有，不同变种加密逻辑与密钥管理方式差异显著，需通过多维度交叉验证识别真实家族，再匹配权威解密资源。
1、检查勒索信内容：查找其中包含的联系邮箱、比特币地址、ID编号或特殊字符串（如“ID-XXXXX”）
2、观察文件图标变化：EFS加密文件带黄色锁标；而勒索病毒通常不修改图标，仅改后缀与内容
3、访问No More Ransom官网（nomoreransom.org），上传勒索信文本、样本文件（非加密原始文件）或截图进行自动识别
4、在ID Ransomware网站（id-ransomware.malwarehunterteam.com）中粘贴勒索信全文，获取病毒家族名称及可用解密器列表
三、尝试本地恢复未加密副本
部分勒索病毒不会立即删除卷影副本（Shadow Copy），且Office 365/OneDrive/Google Drive等同步服务可能保留历史版本，这些是无需解密即可取回数据的关键路径。
1、右键点击被加密文件所在文件夹 → 选择“属性” → 切换至“以前的版本”选项卡 → 查看是否存在可还原的快照
2、在文件资源管理器地址栏输入：\localhost\C$\，检查系统盘根目录是否存在名为“_RESTORE”或“System Volume Information”的隐藏文件夹（需显示隐藏文件）
3、登录对应云盘网页端，在被加密文件页面点击“版本历史”或“管理版本”，下载感染前最后保存的版本
4、使用Windows内置命令行调取卷影副本：vssadmin list shadows，若返回结果含时间戳，可执行 mklink /d C:\shadowcopy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopyX\ 挂载并浏览
四、启用专业级数据恢复与扫描
当解密工具不可用、卷影副本已被清除时，可借助底层扇区扫描技术，定位尚未被覆盖的原始文件残留结构，尤其适用于加密前未关机、磁盘写入量低的场景。
1、下载并运行PhotoRec（开源免费），选择目标磁盘 → 设置文件类型过滤为DOCX/XLSX/PDF/JPG等常用格式 → 启动深度扫描
2、使用R-Studio或Disk Drill加载磁盘镜像（建议先dd镜像，避免原盘二次写入）→ 执行“RAW Recovery”模式 → 按文件签名重建文件头
3、对NTFS分区，运行chkdsk /f /r修复潜在文件系统错误，再配合attrib -h -r -s /s /d *.*解除可能被隐藏的原始文件属性
4、若发现加密过程未覆盖全部扇区，可在扫描结果中筛选出完整头部+校验通过的文件，手动重命名后缀并验证可读性
五、彻底清除残留并重建可信环境
即使成功恢复文件，若未清除病毒本体、持久化机制与后门组件，重启后极可能再次触发加密。必须执行全栈清理，而非仅删除可见进程。
1、使用Kaspersky Rescue Disk或Bitdefender Rescue CD制作启动U盘，从外部环境引导查杀，绕过已加载的Rootkit驱动
2、检查计划任务：schtasks /query /fo LIST /v，识别可疑触发器（如每5分钟执行一次的PowerShell脚本）
3、审查启动项：msconfig → 启动 → 打开任务管理器 → 启动选项卡，禁用所有非Microsoft签名项
4、导出注册表启动位置：reg export HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run runkey.reg，人工比对异常路径
5、备份关键数据后，执行全新安装：使用微软Media Creation Tool制作Win10/11安装U盘 → 全盘格式化 → 纯净安装 → 安装前启用Secure Boot与TPM 2.0
