早上八点四十，前台小姑娘冲进办公室喊了一句：电脑打不开了。屏幕上跳出一行英文，还有一个倒计时。二十分钟后，同一个部门的七台电脑陆续变成同样的画面。文件夹里的文件全都变成了后缀奇怪的陌生格式，双击打开只有一堆乱码。
这就是勒索病毒。它的可怕之处不在于破坏力，而在于——它给你的每一个选择都很贵：交钱，可能拿不回数据，还等于告诉对方你是块好肉；不交钱，业务当天就得停摆。真正决定损失大小的，其实是发现之后的第一到第二个小时。
一、勒索病毒是怎么进来的
绝大多数案例，入口就那么几个。
一是钓鱼邮件里的附件。伪装成发票、合同、简历的可执行文件，打开就悄悄驻留。
二是暴力破解的远程桌面。很多公司的服务器为了远程办公，把3389端口直接暴露在公网，密码又是简单几位数字，攻击者用工具一夜之间就能试出来。
三是供应链和漏洞。某个常用软件没打补丁，或者某个供应商的账号被盗，顺势摸进你的网络。
四是移动存储和盗版软件。U盘在私人电脑和办公电脑之间来回插，风险也跟着来回走。
有一个细节值得注意：现在的勒索团伙在加密文件之前，会先做一件事——用几小时甚至几天时间，摸清你的网络结构，找到备份服务器在哪里、用什么账号登录、备份是不是连在网上。找到之后，先把备份加密或删除，再加密你的业务数据。这就是为什么很多公司“明明做了备份，还是只能交钱”。
二、头两个小时，做对这五件事
第一，立刻切断网络。拔网线、关无线，速度要快。病毒横向扩散往往靠的是网络共享和远程登录，断网能把它锁在已经感染的设备里。
第二，不要关机，不要重启，不要格式化。很多人第一反应是重启试试，一重启内存里的证据就没了，也让后续溯源变得困难。保持现状，让专业人员来判断。
第三，用另一台干净的设备拍照记录。屏幕上的勒索信、倒计时、联系邮箱、比特币地址，都拍下来。有些勒索家族已有公开的解密工具，这些信息能帮你查到。
第四，隔离已感染的设备。还没感染的机器立即断网，重要数据先导到离线移动硬盘上，注意这块硬盘用完要拔掉，不要一直插在电脑上。
第五，评估备份。确认最近一次可用备份的时间点、存放位置、是否也被加密。这一步决定了到底是“恢复”还是“重建”。
顺序不能乱。很多公司吃亏就吃在——先忙着找黑客谈价格，把断网和隔离放在了后面，等回过头来，感染范围已经从一层楼扩到全公司。
三、恢复阶段，别急着全量还原
备份能用，也不代表可以一键全量还原。至少要先做三件事：一是确认备份文件本身没有携带恶意程序，最好在隔离环境里先验证；二是先还原最核心的业务系统，观察一段时间再扩大范围；三是还原之后立即修改所有相关账号的密码，检查有没有攻击者留下的后门账号、计划任务、远程连接记录。
如果备份不可用，就走重建路线：重装系统、从零开始配置环境、按优先级逐步恢复业务。这条路更慢，但更干净。经验上，重建期间最容易被忽略的是“临时方案”——为了赶业务用的一些临时共享、临时账号，往往就成了下一轮攻击的入口，用完必须清掉。
四、预防的性价比，永远高于应急
应急做得再好，也只是把损失变小。真正的解法是把入口堵上。
远程桌面不要直接暴露公网，走VPN加多因素认证；系统和软件补丁定期打，尤其是那种「先等等看」的高危漏洞；邮件网关把恶意附件和链接先筛一遍；办公电脑权限做最小化，普通员工不需要管理员权限。这些措施都属于基础项，但正是基础项决定了你会不会被盯上。
还有一条最容易被提到、也最容易被敷衍的：备份要遵循三二一原则——三份副本、两种介质、一份离线或异地。关键在于「离线」这两个字。连在网上的备份，在勒索病毒面前不叫备份，叫第二份人质。
对中小企业来说，这些事全都自己做，既缺人又缺经验。交给IT外包团队，它们能把这些变成例行工作：定期检查备份可用性、定期演练恢复、定期看补丁覆盖率、定期巡检暴露在公网的端口。企业需要做的，是知道一旦出事该打给谁，以及对方能不能真的在两小时内到场。
勒索病毒挑的从来不是大公司，而是没有准备的公司。花一点时间把准备做在前面，比出事那天在倒计时里做选择要划算得多。
文/蓝盟IT外包
