一、项目背景
稀土大厦某公司财务主管早上八点半打来电话，声音都变了：共享盘里所有Excel变成了.readme后缀，桌面上留着勒索信，要0.3个比特币。我们9点10分到场，第一动作不是看病毒，是拔网线——先止血，让加密别继续扩散到备份。
二、咨询设计
应急排查路径很明确：先确认加密时间点，再看备份有没有幸存的。查下来情况不乐观：公司共享盘是Windows共享目录，卷影副本（VSS）被病毒用vssadmin delete shadows清了；好在他们有台NAS做过每日同步，最后一份干净版本是前一天凌晨2点。业务数据损失一天，可以接受。方案重建分三块：第一，全盘查杀后重装两台受害主机，SMBv1彻底关闭，445端口全网段禁用；第二，备份体系按3-2-1原则重做——三份副本、两种介质、一份离线，NAS开启不可变快照，快照保留期内连管理员都删不掉，这就是勒索免疫的底层逻辑：加密程序再厉害，也改不了只读的快照；第三，边界NGFW开启IPS特征库，域控做弱密码审计，现场测得数据为：全公司43个账号里有11个密码强度不达标，全部强制重置。
三、施工规划
很多客户觉得装了杀毒软件就防得住勒索，实际上勒索病毒走的是合法凭据加系统漏洞，杀毒是最后一道而不是唯一一道。我们把备份策略落成制度：共享盘每日增量、每周全量，月度做一次恢复演练——备份没验证过恢复，就等于没有备份，这句话我会跟每个客户讲。
四、安全补丁
溯源发现入口是财务一台笔记本点了钓鱼邮件附件，账号被窃取后横向渗透。我们给全公司上了邮件网关附件沙箱检测，全员做了一次防钓鱼实操培训：发测试邮件，点到的人当场补课。终端装EDR，异常批量改文件名行为直接拦截。
五、验收交付
重建后做了完整的勒索演练：模拟中毒主机接入，验证横向访问被VLAN隔离拦截、NAS快照无法被篡改、当日备份可恢复。共享盘从快照恢复测试用时26分钟，业务半天可恢复。移交了《勒索应急响应手册》一页纸版本：断网、报修、不支付、不动现场。
六、售后承诺
数据被锁的每一分钟都是损失，我们承诺安全事件2小时到场，大年三十打17704868686照样出车，终身咨询。包头中过勒索的公司我们救过不止一家，经验都是真金白银换来的，不舍昼夜愿意把这些经验守在你门口。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）