中小企业勒索病毒防护与应急恢复指南

它是怎么进来的

我们处理过的案例里，入口高度集中在几条路径上，几乎都与"对外敞开的服务 + 弱口令"有关：

• 远程桌面直接开在公网。3389 端口对外开放 + 简单密码，是最典型的入口。攻击者用扫描器批量试，成功后手动投毒。
• VPN 或 NAS 的管理端口暴露。老版本固件的已知漏洞长期不打补丁，被自动化工具直接利用。
• 邮件附件与伪装安装包。财务、人事岗位收到"发票""简历""对账单"，打开即执行。
• 共享盘横向扩散。一台电脑中招后，凡是它有写权限的共享目录都会被一起加密——这也是"备份也没了"的主因。

事前该做的七件事（按性价比排序）

下面这七项，前三项能挡住绝大多数事故，后四项决定了万一出事损失有多大：

1. 关掉不必要的公网暴露。远程桌面、数据库、NAS 管理端口一律不直接对公网开放，需要远程访问就走 VPN 或零信任接入。
2. 清理弱口令与默认账号。服务器、NAS、路由器、监控设备全部检查一遍，这一步不花钱但效果最直接。
3. 打补丁。操作系统与 NAS、VPN 设备的固件保持在受支持版本，安全更新按周期执行。
4. 做离线或只读隔离副本。关键：一份病毒够不着的数据。可以是离线硬盘、只读快照、或独立凭据的云端副本。
5. 收紧共享盘权限。按部门与项目分配，不给"所有人可写"的大目录，减少横向扩散面。
6. 终端安全统一管理。杀毒软件统一部署、统一确认在跑，而不是各装各的、装完不管。
7. 做一次真实恢复演练。没演练过的备份不算备份。演练同时记录恢复耗时，这就是您真实的业务中断时长。

中招之后，按这个顺序处置

顺序很重要，做反了会让损失扩大：

1. 先隔离，别关机。拔网线或断开无线，阻止继续加密与横向扩散；不要急着重启，内存里可能还有有用信息。
2. 确认影响范围。哪些机器、哪些共享目录、备份服务器有没有被波及。这一步决定后面所有动作。
3. 保护备份。立刻确认备份介质是否离线、是否已被加密。如果还干净，先把它彻底断开。
4. 评估恢复路径。从最近一次可用备份恢复，优先恢复业务必需的系统，其余排队。
5. 找入口并封堵。不封堵入口就恢复，往往几天后再中一次。
6. 恢复后加固与复盘。改密码、关端口、打补丁、调整权限，并把这次的时间线记录下来。

能恢复多少，取决于事前而不是事后

说实话：已经被加密的文件，在没有干净副本的情况下，绝大多数情况无法解密。所谓"数据恢复"能做的，通常是从未被完全覆盖的存储中抢救一部分残留数据，成功率和完整度都不可预期。

决定结果的其实是事前的三个问题：有没有一份病毒够不着的副本？这份副本最近一次成功是什么时候？从它恢复需要多久？这三个问题的答案，就是您的实际损失。