time machine 无法解密被勒索软件加密的文件，但可恢复感染前的干净备份版本——前提是备份发生于感染前且备份盘未被波及；需检查备份盘是否断开、能否正常浏览快照、时间点是否完整；确认安全后，通过 time machine 界面选择感染前快照预览并恢复文档；恢复后须全盘杀毒、断开备份盘、检查 icloud 历史版本，并启用 filevault 与离线备份策略。
如果文档已被勒索软件加密，Time Machine 本身不能解密文件，但它能帮你恢复加密前的干净版本——前提是备份发生在感染之前，且备份磁盘未被勒索软件波及（如未挂载、未联网共享、未被恶意脚本扫描）。
确认备份是否安全可用
勒索软件通常会尝试删除或加密本地备份。请先检查：
- Time Machine 备份磁盘是否物理断开过？若一直连接并挂载，可能已被感染；
- 在 Finder 中能否正常浏览备份磁盘内容？若显示“磁盘已损坏”或无法打开快照，说明备份可能受损；
- 进入 Time Machine 界面后，能否看到加密前多个时间点的文件版本？若最近几天的快照全部缺失或文件名异常（如带“.lock”后缀），备份很可能已被破坏。
从备份中恢复未加密的文档版本
操作需在 macOS 正常运行、且确认备份完好的前提下进行：
- 连接 Time Machine 备份盘，确保它在 Finder 中可见；
- 前往该文档原本所在的文件夹（例如“文稿”或“桌面”），点击菜单栏时钟图标 → “进入 Time Machine”；
- 沿时间轴向左滑动，避开可疑时间段（如发现加密的时间点前后），选择感染发生前至少1–2天的快照；
- 找到目标文档，按空格键预览内容，确认文本可读、无乱码或异常扩展名；
- 选中文件，点击下方“恢复”按钮；系统将还原为原始路径下的未加密版本（若原位置已有加密文件，会提示替换）。
关键注意事项
恢复不是终点，后续动作同样重要：
- 不要直接在恢复后的文档上继续工作——先用杀毒工具（如 Malwarebytes for Mac）全盘扫描，确认系统已清除恶意进程；
- 恢复后立即断开备份盘，避免勒索软件二次感染；
- 检查 iCloud 云盘是否同步了加密文件：若开启了“iCloud 云盘”且文档曾上传，需登录 iCloud.com → “设置” → “管理账户” → “恢复文件”，从中找回加密前的版本（iCloud 也保留30天内的修改历史）；
- 今后启用 FileVault 加密启动盘，并将 Time Machine 备份盘设为“仅备份时不挂载”，或使用离线备份策略（如每周手动连接一次后断开）。
恢复成功的关键不在于操作多复杂，而在于备份是否真实有效、时间点是否足够早、以及是否阻断了感染链。
