Tags：[data@recovery.sx]

勒索病毒消停了一段時(shí)間后，最近有卷土重來(lái)。05月05日勞動(dòng)節(jié)上班之后，接到客戶的緊急求助：其服務(wù)器中了勒索病毒，所有的文件后綴被篡改成了[data@recovery.sx].data后綴，所有應(yīng)用系統(tǒng)均不能打開。客戶嘗試直接修改文件的后綴，重新嘗試導(dǎo)入數(shù)據(jù)庫(kù)，報(bào)錯(cuò)失敗。

和客戶溝通，這個(gè)后綴的勒索病毒出現(xiàn)的很少，為最新變種。留的信息有：

YOUR FILES ARE ENCRYPTED

Don't worry,you can return all your files!

If you want to restore them, follow this link:email data@recovery.sx YOUR ID 70D3E3FB

If you have not been answered via the link within 12 hours, write to us by e-mail:data@recovery.sx

Attention!

Do not rename encrypted files.

Do not try to decrypt your data using third party software, it may cause permanent data loss.

Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

客戶最重要的要恢復(fù)數(shù)據(jù)庫(kù)文件SQL2008R2，和客戶互加微信以后，由于客戶的數(shù)據(jù)庫(kù)非常大，達(dá)到30G，無(wú)法直接微信發(fā)送，后通過(guò)百度網(wǎng)盤傳送，先檢測(cè)了幾個(gè)測(cè)試的數(shù)據(jù)庫(kù)文件，發(fā)現(xiàn)該后綴的勒索病毒的數(shù)據(jù)庫(kù)文件基本完整，加密程度很有限，迅速啟動(dòng)修復(fù)工作。

1、立即斷網(wǎng)（拔掉網(wǎng)線或者關(guān)閉wifi）！關(guān)機(jī)、斷網(wǎng)的目的是避免再次被攻擊、二次加密，如二次加密將大大增加修復(fù)和解密難度，甚至無(wú)法修復(fù)或解密。

2、切莫慌張！切勿亂操作（隨意修改文件名、嘗試殺毒軟件查殺病毒、普通軟件恢復(fù)、刪除文件等），這樣的操作很容易造成被加密的原始文件損壞，增加恢復(fù)難度甚至造成數(shù)據(jù)徹底無(wú)法恢復(fù)！

3、立刻備份！很多時(shí)候聽到客戶這樣說(shuō)“我的設(shè)備上數(shù)據(jù)太多了，備份太花費(fèi)時(shí)間了”！殊不知，有了這個(gè)想法，潛在的威脅（文件被二次感染、系統(tǒng)宕機(jī)、無(wú)法開機(jī)、誤操作刪除了加密數(shù)據(jù)）就出現(xiàn)了！客戶問(wèn)我“沒(méi)有原始數(shù)據(jù)怎么辦？”--我的回答既無(wú)賴也同情！只能重新補(bǔ)做數(shù)據(jù)了！

如何備份數(shù)據(jù)：準(zhǔn)備PE盤和1塊沒(méi)有數(shù)據(jù)的移動(dòng)硬盤，用PE盤啟動(dòng)計(jì)算機(jī)，將中招的文件備份到移動(dòng)硬盤，然后關(guān)閉電腦保持原狀態(tài)不變，恢復(fù)或解密只針對(duì)備份進(jìn)行操作。

4、修改密碼！根據(jù)以往處理客戶勒索病毒的經(jīng)驗(yàn)，我們建議客戶要立即修改局域網(wǎng)中其他設(shè)備的開機(jī)密碼，并將密碼設(shè)置15位以上（含英文大小寫/無(wú)規(guī)律數(shù)字/特殊符號(hào)）--此做法一般避免其他設(shè)備遭到攻擊和二次加密！

5、及時(shí)聯(lián)系軟件系統(tǒng)專業(yè)人員。

友情提醒，請(qǐng)查閱：做好系統(tǒng)軟件數(shù)據(jù)備份，防范勒索病毒說(shuō)明