序言
这不是一个技术很复杂的故事，而是很普遍的现象。一些做外贸的公司，二十来个人，五个业务、两个财务、一个负责杂事的行政。如果您在面对被勒索病毒攻击导致的数据文件加密问题时需要技术支持，欢迎联系我们的技术服务号（data388），我们可以帮助您找到数据恢复的最佳解决方案。比如91数据恢复最近接到过的X公司的单子，三年前请过一位业务主管，去年因为家里的事离职了。走的时候交接得挺客气，客户名单给了、在谈的单子也交代了。唯独有一件事没人提——他在公司远程系统里的账号，还开着。
三个月后的一个深夜，那个账号登录了。
这篇按场景复盘的方式讲，把这件事从离职那天到被发现那天，分成四幕。每一幕结尾都写清楚：这个环节本来可以在哪儿拦住。
一、第一幕：离职那天，账号还活着
场景：
- 公司为了居家办公方便，开了一套远程接入：业务在外面能连公司电脑，财务能在家做账；
- 每位员工一个账号，口令是入职时设的，多数人后来没改过；
- 前台、财务、业务、行政的开机账号还共用一个管理员账号，图的是"谁来都能用"。
离职那天的实际动作：
- 交接文档写了、客户名单给了、工位清了；
- 邮箱停了；
- 远程账号没停、开机账号没停、共享目录权限没回收、云盘访问没撤销。
当时没人觉得这是问题。因为账号停不停，看不见。
复盘：这一幕本该拦下的
- 离职清单里"+ 系统账号"这一项，往往被漏掉；
- 账号是"人"的资产还是"岗位"的资产，公司从来没定义过；
- 一个没人用的账号，长期不登录，也不会有人察觉。
二、第二幕：三个月后的一个深夜
场景：
- 那天凌晨两点多，远程接入系统有一条登录记录；
- 账号是那位离职主管的，来源地址不在本地；
- 登录后没有立刻做什么，只是挂在那里，持续了四十多分钟。
现场后来能查到的痕迹：
- 登录前后有若干次失败尝试，说明对方是"试"进来的；
- 口令还是入职时那套，从没改过；
- 这个账号从来没被停用，也没人注意到它三个多月没登录过。
进来之后的第一件事，不是破坏，是观察：
- 看有哪些机器在线；
- 看共享目录的结构；
- 看哪些机器上挂着远程桌面、哪些账号是管理员；
- 看有没有备份设备能碰到。
复盘：这一幕本该拦下的
- 长期未登录的账号，应该有"休眠即停用"的规则；
- 远程接入应该限定来源与时间，深夜陌生地址的登录要能告警；
- 离职员工账号的口令，从离职当天起就应该视为已泄露。
如果您正在经历勒索病毒的困境，欢迎联系我们的vx技术服务号（data388），我们愿意与您分享我们的专业知识和经验。
三、第三幕：从一个账号，到一片内网
场景：
- 第二天夜里，那个账号又来了；
- 这次带上了另一台机器的凭据（那台机器的口令，同样多年未改）；
- 第三天，共享目录里出现了陌生的临时文件；
- 第五天，几台机器先后出现同一段后缀。
路径大致是这样接起来的：
- 从远程接入进到一台办公机；
- 用共用管理员账号横向访问其他机器（口令是同一套）；
- 摸到文件服务器，共享目录对全员完全控制；
- 摸到云盘同步账号——这一步是关键，同步目录里包含桌面和文档；
- 最后选了一个没人值守的时段动手。
最要命的一环是云同步：
- 几台机器、几部手机绑着同一个账号；
- 本地文件一被改写，几十秒内传到云端；
- 云端再分发给所有绑定设备，包括在家办公的那台电脑。
复盘：这一幕本该拦下的
- 共用管理员账号，等于把横向移动的门槛降到零；
- 共享目录全员可写，等于把"一份坏文件"变成"所有人打开都是坏的"；
- 云同步没有任何台账，谁装了什么、同步了哪些目录，没人说得清。
四、第四幕：被发现的时候
场景：
- 早上上班，业务发现报价单打不开，文件名后面多了 .rox；
- 设计那边说图纸也是；
- 财务说账套目录进不去；
- 一台在家办公的电脑，当天下午也出现了同样的后缀。
处置时的第一件事反而被做错了：
- 有人先重启了机器，想看"能不能恢复"；
- 有人插上移动硬盘，想先把文件拷出来；
- 结果这两步让扩散又往前走了一段。
正确的止损顺序是：
- 先退出云盘账号、暂停同步，再断网络；
- 共享目录设只读或直接停掉共享服务；
- 不重启、不全盘扫描、不删除文件、不插任何移动介质；
- 拍照留证，调取远程接入日志与共享访问日志；
- 按组划边界：哪些机器映射了同一批共享、哪些设备绑了同一云账号。
复盘：这一幕本该拦下的
- "重启试试"和"先拷出来"这两个本能反应，是最常见的放大器；
- 断网顺序如果反了，云端会先把坏文件分发出去。
五、复盘：五个环节，每一个都能拦住
第一环，离职当天
- 建立离职清单，含所有系统账号：开机账号、远程接入、共享目录、云盘、业务系统、邮箱；
- 当天停用，不留"以后可能还要用"的例外；
- 账号权限按岗位而非按人，人来授权、人走回收。
第二环，长期不用的账号
- 设定休眠规则：超过一定天数未登录，自动停用并通知责任人；
- 管理员账号不参与日常办公，不与员工账号混用。
第三环，远程接入
- 限定允许登录的来源与时间段；
- 深夜、陌生来源登录要告警；
- 关键系统启用二次验证。
第四环，共享与权限
- 共享目录按岗位分配，取消全员完全控制；
- 开启访问日志，关注非工作时段的批量写入；
- 共用管理员口令全部拆开，一人一号。
第五环，云同步
- 建立台账：谁装了客户端、同步哪些目录、绑了哪些设备；
- 桌面、文档等敏感目录不纳入默认同步范围；
- 手机、家用设备绑定情况一并登记。
91数据恢复-勒索病毒数据恢复专家，以下是2026年常见传播的勒索病毒，表明勒索病毒正在呈现多样化以及变种迅速地态势发展。
后缀.rox勒索病毒，.xor勒索病毒，.weax勒索病毒，.ths勒索病毒，.bixi勒索病毒，.baxia勒索病毒，.d3ad勒索病毒，.mallox勒索病毒，.DevicData勒索病毒，.sorry勒索，病毒.bres勒索病毒，lockbit5.0勒索病毒，.REVRAC勒索病毒，.kat6.l6st6r勒索病毒，.888勒索病毒，.AIR勒索病毒，.solutions勒索病毒，.god8damn勒索病毒，.poin勒索病毒，.[TechSupport@cyberfear.com].REVRAC勒索病毒，.[xueyuanjie@onionmail.org].AIR勒索病毒，.flex勒索病毒，.L0CK3D勒索病毒，.piz勒索病毒等。
这些勒索病毒往往攻击入侵的目标基本是Windows系统的服务器，包括一些市面上常见的业务应用软件，例如：金蝶软件数据库，用友软件数据库，管家婆软件数据库，速达软件数据库，智邦国际软件数据库，科脉软件数据库，海典软件数据库，思迅软件数据库，OA软件数据库，ERP软件数据库，自建网站的数据库、易宝软件数据库等，均是其攻击加密的常见目标文件，所以有以上这些业务应用软件的服务器更应该注意做好服务器安全加固及数据备份工作。
如需了解更多关于勒索病毒最新发展态势或需要获取相关帮助，您可关注“91数据恢复”。
联络方式：
客服热线：400-1050-918
技术顾问：166-6622-5144 133-1884-4580
技术顾问：176-2015-9934 155-2133-9934
邮箱：91huifu@91huifu.com
粤公网安备 44030502006563号