若文件无法打开且出现异常后缀、桌面弹出勒索信，极可能感染勒索病毒；应立即断网取证、查询解密工具、尝试卷影副本、云存储历史版本及专业软件恢复。
如果您发现电脑中的文档、图片、视频等文件突然无法打开，且文件名末尾出现异常后缀（如“.locked”“.rox”“.crypt”等），同时桌面弹出勒索信要求支付赎金，则极有可能已感染勒索病毒。以下是多种可操作的文件恢复方法：
一、立即断网并保留现场证据
阻断病毒继续加密与横向传播是恢复的前提。勒索病毒常利用网络连接扩散至共享文件夹、NAS设备及域内其他主机，断网可冻结加密进程并保留内存中可能存在的解密线索。
1、拔掉网线或在系统设置中彻底关闭Wi-Fi与蓝牙，确保无任何网络连接；
2、勿重启、勿关机、勿双击任何被加密文件，防止触发二次加密或覆盖关键进程痕迹；
3、用未感染手机完整拍摄勒索信界面，重点包含赎金金额、比特币地址、联系邮箱、病毒标识（如“STOP”“Phobos”“LockBit”）；
4、将2–3个不同类型的被加密文件（如.docx、.jpg、.xlsx）复制到已格式化的U盘中，作为后续识别病毒家族的样本。
二、使用权威勒索病毒解密平台查询匹配工具
多数主流勒索病毒变种已有安全厂商发布免费解密工具，前提是病毒未使用唯一密钥或尚未更新加密逻辑。通过上传勒索信文本或加密文件样本，平台可自动匹配可用解密器。
1、访问https://lesuobingdu.360.cn/，点击“上传勒索信或加密文件”，等待系统识别病毒家族；
2、若显示“可解密”，下载对应版本的360解密大师，以管理员身份运行并选择受感染磁盘路径；
3、同步访问https://lesuobingdu.qianxin.com/，输入文件后缀名（如“.rox”）进行交叉验证；
4、若两平台均提示“暂无解密工具”，记录病毒名称与勒索信特征，定期回查更新（部分工具需数周至数月上线）。
三、尝试系统卷影副本恢复未加密历史版本
Windows系统默认启用“卷影复制服务”（VSS），会周期性保存文件快照。勒索病毒通常无法清除所有历史副本，尤其当用户未禁用该功能或病毒未执行VSS清理指令时。
1、右键点击被加密文件所在文件夹，选择“属性”→“以前的版本”选项卡；
2、查看是否存在可用还原时间点，确认修改日期早于感染发生时间；
3、选中目标版本，点击“打开”预览内容是否完整，确认无误后点击“还原”覆盖当前加密文件；
4、若“以前的版本”为空，尝试使用第三方工具ShadowExplorer加载各磁盘卷影副本，导出原始未加密文件。
四、从云存储服务中提取历史版本或回收站文件
OneDrive、百度网盘、iCloud等云同步服务通常保留文件历史版本与删除记录。只要中毒设备未同步覆盖云端，即可直接恢复原始状态。
1、登录OneDrive网页端，在左侧菜单点击“回收站”，勾选被加密前删除的文件，点击“还原”；
2、进入目标文件详情页，点击“版本历史”，选择感染前最后修改时间的版本，点击“还原此版本”；
3、若使用百度网盘，进入“文件列表”→右上角“更多”→“历史版本”，筛选时间范围后下载可用备份；
4、注意：执行恢复前必须确保所有设备已完成杀毒清理，否则恢复后文件将立即被再次加密。
五、使用专业数据恢复软件扫描残留原始数据
部分勒索病毒采用“覆盖式加密”，即读取原始文件内容后写入加密数据，但未彻底擦除磁盘扇区。若未进行大量新写入操作，原始数据块仍可能残留，可被恢复工具识别。
1、在未感染电脑上下载PhotoRec（开源免费，支持深度扇区扫描）；
2、将中毒硬盘作为从盘接入，运行PhotoRec，选择对应磁盘分区，指定输出路径至另一物理设备；
3、勾选需恢复的文件类型（如JPEG、DOCX、XLSX、PDF），启动扫描；
4、扫描完成后，按文件头特征重建文件，对结果中命名混乱的文件使用十六进制编辑器校验头部是否为原始格式标识。
