如果您的电脑或服务器上文件扩展名突然发生变化，并且桌面上出现了勒索信息，那么您很可能已经遭遇了勒索软件攻击。这是令人苦恼的处境，但只要不惊慌并采取正确的措施，恢复文件的希望依然存在——许多情况下已成功恢复文件。然而，在恐慌时刻采取的错误措施，可能会大大降低这一可能性。本文将探讨在攻击发生后的头24小时内应采取的措施。
1. 立即断开网络连接
应立即将受感染设备从有线/无线网络中断开，以防止勒索软件蔓延到网络上的其他设备。请注意，共享驱动器、备份服务器以及连接的外部驱动器也可能已被病毒感染。
2. 不要关闭系统，而是将其隔离
完全关闭电脑在某些情况下可能会导致内存中留存的加密过程痕迹丢失；相反，应仅将设备与网络断开，并尽可能保持其当前状态不变。
3. 不要支付赎金
支付赎金并不能保证文件被找回；在许多情况下，支付后根本不会收到解密工具，或者解密工具无法正常使用。此外，支付赎金还会为攻击者提供经济支持，增加再次遭受攻击的风险。
4. 保留勒索信息和加密文件样本
桌面或文件夹中留下的勒索信息、文件扩展名变化的模式，以及几个加密文件的样本，在确定病毒家族及可能的恢复方法方面发挥着重要作用。
5. 寻求专业评估
并非所有勒索软件家族都使用相同强度的加密；某些家族的文件可以通过已知漏洞恢复。因此，在遭受攻击后不要关闭系统、不要删除文件，尽快联系专业人员，可以大大提高恢复的可能性。
常见错误
- 尝试重命名或“修复”加密文件
- 运行从互联网下载、未经验证可信度的免费“解密工具”
- 格式化系统（这可能会破坏本可恢复的数据）
- 未验证备份系统的完整性就继续将其保留在同一网络中
总结
遭遇勒索软件攻击时最正确的第一步：断开网络连接，保持系统原样，不支付赎金，并寻求专业分析。
您并不孤单；此前已有许多用户和企业在此过程中获得了成功的帮助。如需了解Cryptolocker及勒索软件恢复服务的更多详情及免费初步分析，请查看Cryptolocker / 勒索软件恢复页面。