文件被恶意软件加密后呈现乱码名称、无原始扩展名，需通过文件头魔数识别真实类型：pdf以“%pdf”（0x25504446）开头，docx等zip格式以“pk”（0x504b）开头，结合powershell脚本与hxd工具可精准判断是否可恢复。
当你发现文件被恶意软件加密后变成乱码名称、无法打开，且资源管理器中看不到原始扩展名（如 .docx、.pdf），说明攻击者很可能隐藏了真实后缀并篡改了文件头——此时必须绕过伪装，直接读取文件底层结构才能识别原始类型和加密痕迹。
先确认是否真被加密而非单纯重命名
右键文件 → “属性” → 查看“大小”和“修改日期”。若大小与原始文档明显不符（例如1KB的“合同.pdf”实际应有2MB），或修改时间集中在同一秒内批量变更，基本可判定是勒索软件所为。注意：【不要双击打开或运行任何可疑.exe、.scr、.vbs文件】，否则可能触发二次加密或反调试机制。
在文件资源管理器地址栏输入 powershell 并回车，进入当前目录后执行：Get-Item *.*** | ForEach-Object { $_.Name + " → " + $_.Length + " 字节" }。这能快速列出所有异常小文件，避免肉眼漏判。
用记事本强制查看文件开头16字节（判断是否含加密标记）
右键被锁文件 → “打开方式” → 选择“记事本”。如果首行显示类似“MZ”“PK”“%PDF”“JFIF”“RIFF”等固定字符串，说明文件头未被完全覆盖，原始格式尚存；若全是乱码、空格或“”符号，大概率头部已被勒索程序覆写。
记事本里按 Ctrl+End 跳到末尾，观察最后是否残留“—–BEGIN RSA PRIVATE KEY—–”或“[AES-256]”类文本。部分勒索软件会在文件末尾硬编码提示信息，这是逆向分析的关键线索。
用PowerShell提取真实扩展名线索（跳过系统隐藏逻辑）
第一步：以管理员身份运行 Windows 终端（Win+X → “Windows Terminal（管理员）”）。
第二步：输入 cd /d "C:\Your\Encrypted\Folder"（把路径替换成你的真实文件夹位置）→ 回车。
第三步：执行以下命令：Get-ChildItem -File | Where-Object { $_.Length -gt 1024 } | ForEach-Object { $bytes = Get-Content $_.FullName -Encoding Byte -TotalCount 8; if ($bytes[0] -eq 0x50 -and $bytes[1] -eq 0x4B) { Write-Host "$($_.Name) → 可能是ZIP/PK结构（含.docx/.xlsx/.pptx）" -ForegroundColor Green } elseif ($bytes[0] -eq 0x25 -and $bytes[1] -eq 0x50 -and $bytes[2] -eq 0x44 -and $bytes[3] -eq 0x46) { Write-Host "$($_.Name) → 可能是PDF" -ForegroundColor Green } else { Write-Host "$($_.Name) → 头部不匹配常见格式" -ForegroundColor Yellow } }
这个脚本不依赖文件名后缀，而是直接读取每个文件前8字节比对魔数（Magic Number）。PDF必须以0x25 0x50 0x44 0x46开头，DOCX/XLSX/PPTX本质是ZIP压缩包，必须以0x50 0x4B开头。只要魔数还在，就证明原始格式未被销毁，只是被加壳或重命名。
用CertUtil验证文件是否含EFS加密残留（排除系统误判）
方法一：在终端中执行 certutil -hashfile "C:\path\to\file" SHA1。若返回哈希值正常生成，说明该文件未被EFS加密（EFS加密文件调用此命令会报错“访问被拒绝”）；若报错，则需用原加密账户登录再试。
方法二：右键文件 → “属性” → “常规”选项卡下点击“高级…” → 检查“加密内容以便保护数据”是否仍勾选。若勾选但当前账户打不开，说明EFS证书已丢失或私钥损坏，不是勒索软件所为。
注意：【CertUtil结果为“访问被拒绝”时，绝不可直接删除或格式化磁盘】，否则EFS密钥彻底丢失，数据将永久不可恢复。
用HxD十六进制编辑器直读文件头（最可靠方式）
下载绿色版HxD（无需安装，官网hxd.de），拖入被锁文件。左侧十六进制区第一行前8位即为魔数：00000000 后紧跟的两列（如 50 4B 03 04）就是关键标识。
对照表快速识别：50 4B → ZIP系（DOCX/XLSX/PPTX/EPUB）；25 50 44 46 → PDF；FF D8 FF → JPG；89 50 4E 47 → PNG；4D 5A → EXE/DLL；7B 5C 72 74 66 → RTF。只要这些字节没被覆盖，就证明原始格式完好，解密希望仍在。
若看到开头是随机字符如 E8 9F 3A 1C 或全零块，说明勒索软件执行了全盘覆写，此时恢复难度极大，优先考虑备份还原而非强行解密。
