昆区会计事务所遭遇批量病毒感染：30台电脑应急维保实录
2026年7月，包头昆区某会计事务所来电紧急报修：公司30台办公电脑中有22台同时出现文件被篡改、桌面壁纸被替换、电脑运行严重卡顿的症状。不舍昼夜技术团队接到17704868686报修电话后，30分钟内到达现场。
一、故障现象与初步诊断
现场勘查发现：
- 22台电脑桌面壁纸被替换为红色警告图片，提示"文件已被加密"
- Office文档后缀被改为.locked，无法正常打开
- 共享盘中的客户账目文件大量被感染
- 任务管理器中发现异常进程 svchosts.exe（注意：比正常svchost.exe多了一个s）
- 局域网内有大量445端口扫描流量
初步判断为WannaCry变体勒索病毒通过SMBv1协议漏洞在局域网内横向传播。
二、应急处置流程
第一步：物理隔离（10分钟内完成）
立即拔除所有网线，关闭无线网卡，将22台感染电脑和8台未感染电脑全部断网。断开交换机上行链路，阻止病毒继续向外网扩散。同时关闭NAS存储设备的网络连接，保护已备份的历月数据。
第二步：样本提取与分析
在一台隔离的电脑上使用U盘（PE系统启动）提取病毒样本：
- 使用Process Explorer导出可疑进程的内存dump
- 提取注册表启动项：HKCU\Software\Microsoft\Windows\CurrentVersion\Run下发现异常键值"WindowsUpdate"指向 C:\Users\Public\svchosts.exe
- 提取病毒文件哈希值，上传至VirusTotal分析，确认为WannaCry 2.5变体
第三步：未感染电脑加固
对8台未感染电脑进行紧急加固：
- 禁用SMBv1协议：PowerShell执行
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol - 开启Windows Defender实时保护，更新病毒库至最新版本
- 安装MS17-010补丁（KB4013389），堵住永恒之蓝漏洞
- 关闭445、135、139端口的外部访问
- 修改本地管理员密码为复杂密码（12位以上，含大小写+数字+特殊字符）
第四步：感染电脑清除病毒
对22台感染电脑逐台进行清理：
- 使用微PE工具箱制作U盘启动盘，从PE系统启动
- 运行GData AntiRansomware工具扫描清除病毒主体文件
- 手动删除 C:\Users\Public\svchosts.exe 及注册表启动项
- 清除任务计划中的异常任务（名称为"Microsoft\Windows\WindowsUpdate"）
- 重启进入安全模式，再次全盘扫描确认无残留
第五步：文件恢复
由于该变体使用AES-128加密且密钥未上传至服务器（离线加密模式），我们尝试以下恢复方案：
- 检查Windows卷影副本：使用vssadmin list shadows查看，发现部分电脑保留了7月10日的快照
- 使用ShadowExplorer从卷影副本中恢复了约65%的Office文档
- 对于卷影副本被清除的电脑，使用Recuva深度扫描已删除文件，恢复了约20%的文件
- 最终从NAS月度备份中恢复了剩余15%的文件（备份截止7月1日，损失约3周数据）
三、后续安全加固建议
清除病毒后，我们为该会计事务所部署了以下安全加固方案：
- 网络层：在核心交换机上配置ACL规则，禁止办公网段之间的SMB协议互通
- 终端层：统一部署企业版EDR终端安全软件，开启勒索病毒行为防护
- 备份策略：部署Veeam Backup，每日增量备份至独立NAS，保留30天快照
- 权限管控：取消普通用户本地管理员权限，软件安装需IT审批
- 补丁管理：部署WSUS服务器，每月统一推送Windows安全补丁
本次应急处置历时约8小时，30台电脑全部恢复正常使用，文件恢复率达到85%以上。
包头昆区企业如遇电脑病毒感染、系统故障等紧急IT问题，请立即拨打17704868686，不舍昼夜技术团队30分钟上门服务。
【不舍昼夜技术 · 包头IT一站式服务】
电脑/服务器：重装系统、硬件升级、服务器Linux/Windows环境部署
数据安全：硬盘/U盘/数据库数据恢复、网络安全加固、病毒清理
弱电安防：监控安装、机房建设、综合布线、门禁人脸识别
办公耗材：打印机维修、硒鼓墨盒配送、复印机租赁
软件开发：企业官网、小程序开发、APP定制、ERP系统
服务单位：内蒙古不舍昼夜技术有限公司
业务涵盖：电脑维修/系统重装/数据恢复/监控安防/弱电布线/打印耗材
技术热线：17704868686（包头本地团队，随叫随到！）