Tags：[data@recovery.sx]

勒索病毒消停了一段時間后，最近有卷土重來。05月05日勞動節(jié)上班之后，接到客戶的緊急求助：其服務器中了勒索病毒，所有的文件后綴被篡改成了[data@recovery.sx].data后綴，所有應用系統(tǒng)均不能打開�？蛻魢L試直接修改文件的后綴，重新嘗試導入數(shù)據(jù)庫，報錯失敗。

和客戶溝通，這個后綴的勒索病毒出現(xiàn)的很少，為最新變種。留的信息有：

YOUR FILES ARE ENCRYPTED

Don't worry,you can return all your files!

If you want to restore them, follow this link:email data@recovery.sx YOUR ID 70D3E3FB

If you have not been answered via the link within 12 hours, write to us by e-mail:data@recovery.sx

Attention!

Do not rename encrypted files.

Do not try to decrypt your data using third party software, it may cause permanent data loss.

Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

客戶最重要的要恢復數(shù)據(jù)庫文件SQL2008R2，和客戶互加微信以后，由于客戶的數(shù)據(jù)庫非常大，達到30G，無法直接微信發(fā)送，后通過百度網(wǎng)盤傳送，先檢測了幾個測試的數(shù)據(jù)庫文件，發(fā)現(xiàn)該后綴的勒索病毒的數(shù)據(jù)庫文件基本完整，加密程度很有限，迅速啟動修復工作。

1、立即斷網(wǎng)（拔掉網(wǎng)線或者關閉wifi）！關機、斷網(wǎng)的目的是避免再次被攻擊、二次加密，如二次加密將大大增加修復和解密難度，甚至無法修復或解密。

2、切莫慌張！切勿亂操作（隨意修改文件名、嘗試殺毒軟件查殺病毒、普通軟件恢復、刪除文件等），這樣的操作很容易造成被加密的原始文件損壞，增加恢復難度甚至造成數(shù)據(jù)徹底無法恢復！

3、立刻備份！很多時候聽到客戶這樣說“我的設備上數(shù)據(jù)太多了，備份太花費時間了”！殊不知，有了這個想法，潛在的威脅（文件被二次感染、系統(tǒng)宕機、無法開機、誤操作刪除了加密數(shù)據(jù)）就出現(xiàn)了！客戶問我“沒有原始數(shù)據(jù)怎么辦？”--我的回答既無賴也同情！只能重新補做數(shù)據(jù)了！

如何備份數(shù)據(jù)：準備PE盤和1塊沒有數(shù)據(jù)的移動硬盤，用PE盤啟動計算機，將中招的文件備份到移動硬盤，然后關閉電腦保持原狀態(tài)不變，恢復或解密只針對備份進行操作。

4、修改密碼！根據(jù)以往處理客戶勒索病毒的經(jīng)驗，我們建議客戶要立即修改局域網(wǎng)中其他設備的開機密碼，并將密碼設置15位以上（含英文大小寫/無規(guī)律數(shù)字/特殊符號）--此做法一般避免其他設備遭到攻擊和二次加密！

5、及時聯(lián)系軟件系統(tǒng)專業(yè)人員。

友情提醒，請查閱：做好系統(tǒng)軟件數(shù)據(jù)備份，防范勒索病毒說明