应立即断网隔离、保留勒索信和加密文件样本，进入安全模式终止恶意进程，通过id ransomware和nomoreransom识别病毒并运行官方解密工具，同时尝试卷影副本、文件历史记录及onedrive版本恢复，最后用eset离线扫描清除残留。
如果您发现电脑中了勒索病毒，文件被批量添加异常后缀、无法正常打开，并弹出勒索提示信息，则表明系统已被加密锁定。以下是针对该情况的多路径解密恢复操作步骤：
一、立即断网隔离并保留现场证据
物理阻断网络连接可防止病毒横向传播、密钥上传或二次加密，同时完整保留勒索信、加密文件及系统痕迹是后续识别与解密的前提。
1、拔掉以太网网线或关闭Wi-Fi与蓝牙功能，确保设备彻底脱离网络。
2、切勿重启电脑、切勿双击任何被加密文件，避免触发病毒自毁或覆盖内存中的临时密钥。
3、使用另一台未感染设备，用手机拍摄完整勒索界面，重点记录赎金金额、比特币钱包地址、联系邮箱、勒索软件名称（如faust、LockBit等）。
4、将2–3个不同类型的被加密文件（如.docx、.jpg、.xlsx）复制到已格式化的U盘中保存，作为后续识别病毒家族的样本。
二、进入安全模式终止恶意进程
安全模式仅加载核心驱动与服务，多数勒索病毒的守护进程无法自动启动，便于定位并终止活跃恶意组件。
1、重启电脑，在Windows徽标出现前连续按F8键；若无效，强制关机三次触发“自动修复环境”。
2、选择“疑难解答”→“高级选项”→“启动设置”→“重启”，随后按数字键4启用安全模式。
3、按下Ctrl+Shift+Esc打开任务管理器，切换至“详细信息”页签。
4、按“磁盘”或“CPU”使用率排序，查找路径不在C:\Windows\System32下的svchost.exe、随机命名进程（如xqwe32.dll）、或命令行含-powershell -enc参数的条目。
5、右键结束可疑进程，并记录其完整路径与启动参数，用于后续病毒分析。
三、识别勒索软件类型并匹配官方解密工具
不同勒索病毒家族采用的加密方式差异显著，准确识别后方可调用经验证的免费解密器，大幅提升恢复成功率。
1、在未感染设备上访问https://id-ransomware.malwarehunterteam.com，上传勒索信文本及一个加密文件样本。
2、根据返回结果确认病毒家族（如faust、Phobos、STOP等）及加密特征（如是否使用RSA+AES混合加密）。
3、前往https://www.nomoreransom.org，在“Decryption Tools”栏目中搜索对应家族名称，下载官方认证的解密工具。
4、将解密工具复制至中毒电脑，在安全模式下以管理员身份运行，严格按提示选择加密文件所在目录及输出路径。
四、尝试系统级备份恢复机制
若勒索病毒未清除卷影副本（Shadow Copy）或未禁用文件历史记录，系统自身可能仍保留未加密版本的文件快照。
1、右键点击被加密文件所在文件夹，选择“属性”→“以前的版本”，查看是否存在可用还原点。
2、若无响应，下载并运行ShadowExplorer工具，选择系统盘与时间点，浏览并导出其中未加密的原始文件。
3、检查是否启用“文件历史记录”：打开“设置”→“更新和安全”→“备份”→“更多选项”，确认备份驱动器是否连接且存在近期快照。
4、对OneDrive同步文件夹，登录网页版OneDrive，右键单击任一加密文件，选择“版本历史”，恢复最近未加密版本。
五、使用离线杀毒与深度扫描清除残留
在线杀软易受勒索病毒注入干扰而失效，基于独立内核的离线扫描可绕过运行时防护，直接读取磁盘扇区，清除顽固加载器与持久化模块。
1、在干净设备上下载ESET SysRescue Live ISO镜像，使用Rufus以DD模式写入U盘。
2、将U盘插入中毒电脑，重启后从UEFI/BIOS中选择U盘启动。
3、进入图形界面后点击“Scan computer”，勾选“Deep scan”与“Scan for potentially unwanted applications”。
4、扫描完成后，对所有标记为Win32/Filecoder、Trojan.Ransom、Ransom.Ekans等类别的项目执行“Remove”操作。
5、重启前点击“Save log to USB drive”，导出扫描日志，用于比对NoMoreRansom工具兼容性。
