一、直观明显现象（中招典型特征）

1、文件后缀被修改（最核心标志）

1. 文件后面多出陌生后缀：.lockbit、.conti、.rar1、.crypt、.hk、.zzz、.maze、.phobos等；文档、图片、压缩包、Excel、Word、PDF全部打不开。

2. 原文件图标异常；双击文件提示格式错误、文件损坏。

3. 桌面、文件夹内出现勒索说明文件，名字一般是：README.txt、HOW‑TO‑DECRYPT.txt，里面包含比特币钱包地址、Tor暗网链接，要求付款解密文件，出现这个100%确定勒索病毒。

   2、批量文件异常情况

• 短时间内大量文档、图片、源代码、网站素材、客户资料逐个加密；

• 系统盘、D盘、移动硬盘、U盘里面文件全部遭殃；

• 文件夹本身不变，但是里面文件被加密。

  二、电脑后台异常（病毒正在加密阶段，早期征兆，此时断开硬盘可以挽救文件）

  1、硬件状态异常

1. CPU占用突然飙升，磁盘100%占用，硬盘疯狂读写，磁盘灯不停闪烁；

2. 笔记本风扇高速转动、电脑明显发烫；GPU占用无故拉高。

   注意：加密程序会后台静默遍历全部磁盘文件，磁盘占用长时间100%是勒索病毒非常典型表现。

   2、进程层面查看

   打开任务管理器，重点查看下面情况：

3. 出现名称随机字母数字的exe进程（例如 sdjfh34.exe）；

4. 进程路径在：%temp%、下载文件夹、AppdataRoaming里面；

5. 不知名程序大量读取各个目录文件；

6. 出现PowerShell、cmd、wmic后台频繁启动，并且持续读写文件； 黑客经常借助powershell后台执行加密程序。

   3、网络异常

7. 在任务管理器‑资源监视器里发现程序大量访问境外IP（俄罗斯、伊朗等地区）；

8. 系统自动访问Tor节点、代理服务器；

9. 电脑向外大量发起外网连接。

   三、系统和安全层面迹象

10. 杀毒软件被自动关闭，Windows Defender防护被禁用；自己手动开启安全防护会自动失效；

11. 系统还原点被自动删除，系统备份文件被清除；勒索病毒第一件事就是干掉备份；

12. 组策略被篡改，防火墙配置被修改；

13. 电脑里出现陌生计划任务，定时启动未知程序；

14. 浏览器主页被篡改，浏览器下载目录出现不知名exe文件。

    四、日志排查方法（最严谨判断方式，适合你做网站源码环境）

15. Windows事件查看器 → Windows日志‑安全、应用程序日志：

• 大量陌生程序执行记录；PowerShell执行事件；从临时目录启动程序。

16. 查看最近安装程序：控制面板‑程序，看最近有没有不知名软件。

17. 检查启动项：任务管理器启动页面，有无未知程序开机自启。

18. 检查注册表：HKEY‑CURRENT‑USERSoftwareMicrosoftWindowsCurrentVersionRun，出现随机命名程序基本就是木马。

    五、高危入侵入口（对照自己日常习惯判断风险高低）

    你的电脑主要风险来源：

19. 破解软件、PJ版程序、绿色版工具、激活工具；

20. 客户发来的压缩包、exe文件、JS脚本；

21. 网站源码压缩包、插件、破解版建站程序；

22. 远程桌面端口3389对外开放、弱密码；

23. U盘拷贝文件；

24. 钓鱼邮件附件。

    如果你经常下载破解版软件、把3389端口暴露公网，中勒索病毒概率极高。

    六、一旦确认中毒之后紧急处理步骤（严格按顺序）

25. 立刻拔掉网线，断开网络，关闭电脑；不要继续开机，开机越久加密文件越多；

26. 不要支付赎金：80%付完钱不给解密密钥，黑客拿到钱之后继续勒索；

27. 把硬盘拆下来挂载到干净电脑，不要双击打开磁盘；

28. 全盘格式化系统盘，资料盘如果没有备份大概率无法恢复；

29. 以后重要文件做异地备份（移动硬盘脱机备份或者云盘定时备份）。

    七、简单总结一套快速自检步骤（日常自查只用3步）

30. 任务管理器：磁盘是否长期100%占用；

31. 看文档文件后缀有没有异常扩展名；桌面有无勒索文档；

32. 查看系统日志，有没有陌生程序运行。

    补充：给你一套适合建站电脑的防护方案

33. 3389远程端口不要对外开放，如果非要使用，修改端口号+设置复杂密码；

34. 网站源码定期离线备份；备份硬盘平时断开电脑；

35. 尽量少用破解版软件；安装火绒安全软件，开启勒索病毒防护；

36. 重要文件开启Windows文件历史记录。