被勒索病毒加密的文件还能恢复吗？

能否恢复不取决于付费意愿，也不取决于投入多少人力，而取决于几个客观条件。评估时我们按下面四个问题逐一核实：

• 是哪个家族、哪个版本？ 只有少数家族因为密钥泄露、执法缴获或实现缺陷，存在可用的解密方法，而且通常只对特定版本或特定时间段有效。家族可以先用 勒索病毒在线识别 做初步判断。
• 是怎么加密的？ 有的家族把整个文件完整加密；有的为了速度只加密文件头部，或者「加密一段、跳过一段」。SentinelOne 在 2022 年就记录了 BlackCat、PLAY、Black Basta 等家族采用间歇加密。只被加密了一部分的大文件，往往还留有大量可以提取的数据。
• 还剩下什么？ 离线备份、存储与虚拟化快照、网盘历史版本、员工电脑上的副本、下游系统里的同源数据，任何一个幸存下来，都可能成为恢复的主力。
• 中招之后做了什么？ 重启、重装、格式化、在原盘上安装恢复软件，都会覆盖本来可以找回的残留。很多「救不回来」不是病毒造成的，而是事后的抢救动作造成的。

这四个问题没有核实清楚之前，任何「能恢复」或「不能恢复」的说法都只是猜测。

下表是实际处置中最常见的几种局面。同一起事件往往同时适用几条路径，评估时逐条核实、组合使用。

几点补充：

• 公开解密工具是少数情况。 哪些家族有、各自有什么限制，见 勒索病毒解密工具有哪些。
• 部分加密是大文件最大的机会。 数据库、虚拟磁盘动辄几十 GB，完整加密太慢，不少家族只覆盖其中一部分。2023 年 2 月的 ESXiArgs 事件中，加密器没有加密存放虚拟磁盘数据的 flat 文件，美国 CISA 据此发布了用这些磁盘重建虚拟机的恢复脚本。具体做法分别见 数据库被加密 与 虚拟化平台被加密。需要说清楚：结构修复的产出是「可读的数据」，不一定是原样的文件。
• Windows 卷影副本别抱太大希望。 删除卷影、清空备份目录是勒索软件的常规动作，MITRE ATT&CK 把它单列为一项技术（T1490）。存储阵列、NAS 与虚拟化层的快照不在被加密系统的权限范围内，幸存的机会大得多，见 备份被删除或加密。
• 被删除的原文件有时还在盘上。 并非所有加密器都在原位置覆盖写入，有的先写出加密副本再删除原文件。被删除的数据在被覆盖之前可以扫描找回，这条路对存有大量小文件的文件服务器尤其有价值，前提是中招后立刻停止写入，见 文件服务器与 NAS 被加密。

「不能恢复」和「能恢复」同样需要讲清楚。以下情况，可恢复空间通常非常有限：

• 密码学实现正确、没有密钥泄露的现代家族，并且文件被完整加密。 这类家族为每个文件生成独立密钥，再用攻击者持有的公钥封装，没有私钥就没有数学捷径。国内近年常见的不少家族属于这一类，各家族的现状以对应家族页的核查结论为准。
• 小文件被完整加密。 Office 文档、PDF、图片体积小，加密器通常一次性全部覆盖，不存在可以提取的未加密区段。
• 所有副本都在同一权限范围内。 备份服务器加入了生产域、NAS 快照能被同一个管理员账号删除、异地同步把加密后的文件也同步了过去——这样的环境里，备份常常与生产数据一起失效。
• 数据被擦除而不是被加密。 有的攻击使用擦除程序，或带擦除模式的勒索软件（如 Anubis），文件内容被直接覆盖清零，任何密钥都还原不出内容。
• 现场已经被破坏。 反复重启、重装系统、格式化、在原盘上跑恢复软件并写回同一分区，会覆盖被删除原文件的残留和未加密的区段。

遇到这些情况，我们会在评估结论里写明哪些数据确定拿不回来，不夸大可恢复范围，也不推进没有实质可行性的恢复作业。

后缀一样，结论却可能完全相反。常见的分界线有这几条：

• 加密时间与版本。 Avast 在 2024 年 10 月发布的 Mallox 解密器，只对 2023 年至 2024 年初流行的版本有效；攻击方在 2024 年 3 月前后修复了缺陷，之后加密的文件用它解不开。SRLabs 的 Black Basta 工具同样只覆盖约 2022 年 11 月至 2023 年 12 月的版本。
• 密钥有没有被拿到。 2024 年 2 月执法机构查封 LockBit 时，FBI 已掌握 2500 余把解密密钥，到当年 6 月增至 7000 余把。数量不小，但仍只对应一部分受害者，详见 LockBit 家族页。
• 在线密钥还是离线密钥。 STOP/Djvu 在连不上攻击者服务器时会改用内置的离线密钥。Emsisoft 的工具只能解开由其已掌握的离线密钥加密的文件，在线密钥加密的文件无法解密。
• 文件大小与类型。 同一次加密里，大文件可能只被加密了头部，小文件却被完整覆盖。同一台服务器上，数据库可能修复出大部分业务表，Word 文档却一个都打不开。
• 现场有没有被破坏。 有的恢复方法依赖文件修改时间来缩小密钥的搜索范围，研究者针对 Akira 的 Linux/ESXi 变种公开的方法就是如此，时间戳一旦被改写，这条路就断了。Avast 的 Mallox 工具要求在加密发生的那台电脑上运行，先重装系统可能让它无法使用。

所以「别人说这个后缀能解」不能直接套用到你的环境，必须用你自己的样本判定。

评估的目标是在动手之前，把「能恢复什么、恢复到哪个时间点、哪些拿不回来」写清楚。我们的做法是：

1. 识别家族与版本：勒索信、后缀、联系方式与加密样本交叉比对，核对有无公开工具、缴获密钥或已知缺陷。
2. 测量加密覆盖范围：对关键文件做熵值分析，确认是完整加密、头部加密还是间歇加密。
3. 盘点全部数据源：备份、各层快照、离线介质、终端副本、下游系统，逐一确认是否幸存、是否干净。
4. 在副本上试修：对只读镜像试解密或做结构修复，用真实数据验证路径是否可行。
5. 出具书面结论：按系统列出可恢复范围、可恢复到的时间点、缺口与预计工期。

初步沟通与家族识别方向的判断不收费；完整评估需要接入环境、制作镜像并试修，是否收费、如何计费会在开始前说明并取得确认。整体流程见 服务流程，费用与时长的决定因素见 勒索病毒解密多少钱、恢复要多久。