屏幕上出现勒索信的那一刻，多数人最先想到的是重装系统。这个动作可以理解，但它会把后面所有可能的线索一起抹掉。
一、加密到底改了什么
勒索软件通常不会把文件删掉。它读取文件内容，用加密算法改写，再把文件扩展名换成一串陌生后缀，并留下勒索信。
原始内容可能有几处残留：
- 卷影副本、系统还原点里有没有未加密的旧版本；
- 回收站、临时目录、未分配空间里有没有原始片段；
- 内存里有没有还没写盘的密钥材料；
- 部分样本的密钥写在本地配置文件或注册表里。
这些线索都在「被感染的那套系统」上。重装、格式化、大规模删除，会把它们一起清掉。
二、几件先不要做的事
- 不要急着重装系统。重装会重写系统盘，卷影和临时文件一起没；
- 不要点「解密工具」乱试。用错工具可能改写文件头，让原本还能修的文件彻底打不开；
- 不要把样本删掉。样本是判断加密算法和密钥管理方式的依据；
- 不要继续在这台机器上办公。部分样本会横向移动，也可能在后台继续加密新文件。
三、可以先做的几件事
- 断网。拔掉网线、关掉无线，防止远端下发指令或继续加密；
- 拍照留证。勒索信内容、被改的扩展名、进程列表、磁盘管理界面，都拍下来；
- 关机而不是重启。重启可能触发脚本继续写盘；
- 做只读镜像。如果数据重要，先用只读方式把整盘克隆到另一块盘，后续所有分析都在镜像上做。
四、能不能解密，取决于什么
不是所有勒索样本都可解。判断依据大致是：
- 密钥在哪。如果密钥存在本地、或样本有调试开关，存在提取路径；如果密钥由远端服务器动态分发，离线解密通常走不通；
- 算法是什么。对称加密且密钥可寻，和非对称加密且私钥在对方手里，难度完全不同；
- 有没有备份。一份干净的、感染之前的备份，比任何解密尝试都直接。
公开的解密工具只覆盖一部分家族和版本。拿自己的样本去对一下，比猜更有效。
五、备份在这时候有多重要
如果存在感染之前的完整备份，而且备份介质在感染期间是离线的，那么恢复路径很清晰：先确认备份干净，再在隔离环境里还原。
如果备份和被感染机器是实时同步的，备份本身可能已经被加密。这也是为什么「离线备份」这四个字反复被强调。
六、什么情况下已经很难
- 密钥由远端管理，且服务器已被执法机构关停，没有任何留存；
- 原始文件被直接覆盖写入，而不是加密替换；
- 系统盘已被重装或多次写入，卷影和临时文件全部丢失。
遇到勒索，先保全现场，再判断能不能解。动作越少，可选项越多。