应急响应-错误处置方法

使用移动存储设备

错误操作

• 在确认服务器/主机感染勒索病毒后，在中毒服务器/主机上使用U盘、移动硬盘等移动存储设备。

错误原理

• 勒索病毒会对感染服务器/主机上的所以文件进行加密，所以当插上U盘、移动硬盘等移动存储设备时，也会立即对其存储的内容进行加密，从而使损失扩大。

读/写“中招”服务器/主机中的磁盘文件

错误操作

• 在确认服务器/主机感染勒索病毒后，轻信网上的各种解密方法或工具，反复读/写磁盘中的文件，反而降低数据正确恢复的概率。

错误原理

• 很多流行的勒索病毒的基本加密过程为：首先，将保存在磁盘中的文件读取到内存中；其次。在内存中对文件进行加密；最后，将修改后的文件重新写到磁盘中，并将原始文件删除。
• 也就是说，很多勒索病毒在生成加密文件的同时，会对原始文件采取删除操作。理论上说，使用某些专用的数据恢复软件，还是有可能部分或者全部恢复被加密文件的。而此时，如果用户对磁盘反复的读/写操作，有可能破坏磁盘空间中的原始文件，最终导致原本还有希望的文件彻底无法恢复。