勒索病毒加密文件后，可利用Windows卷影副本恢复原文档；需立即断网、禁用杀软，通过“以前的版本”或ShadowExplorer提取感染前快照，导出时严禁保存至原分区。
你的Word文档、Excel表格、照片突然打不开，文件名末尾多出“.locked”后缀，桌面弹出勒索信——这说明勒索病毒已加密文件，但Windows系统可能还留有未被清除的“影子卷”快照，这是无需解密就能拿回原文档的关键机会。
确认感染后立即停止操作
不要双击任何被加密文件，不要重启电脑，不要运行杀毒软件全盘扫描——这些动作可能触发病毒二次加密或覆盖内存中残留的卷影副本索引。
拔掉网线或彻底关闭Wi-Fi与蓝牙，物理断网是保留卷影副本可用性的前提条件。【断网必须在尝试恢复前完成】
通过文件属性调出“以前的版本”
右键点击任意一个被加密的文件（如report.docx.locked）→ 选择“属性” → 切换到“以前的版本”选项卡。
如果该选项卡为空白或显示“此文件夹没有可用的以前版本”，说明系统未启用卷影复制服务，或病毒已执行vssadmin delete shadows命令清除了全部快照；此时请跳过本路径，转向ShadowExplorer工具方案。
若能看到多个时间点列表，重点筛选修改日期早于你发现勒索信当天的条目——例如你10月18日看到勒索信，就只看10月17日及更早的版本。
预览并还原目标快照
选中一个疑似感染前的时间点 → 点击“打开”按钮。
系统会用只读方式加载该快照中的文件夹视图，直接双击其中的report.docx（注意：不是.report.docx.locked），确认能正常打开、内容完整、无乱码。
确认无误后，回到“以前的版本”窗口 → 点击“还原”按钮 → 弹窗提示“将用以前版本替换当前版本”，点击“继续”。【该操作不可逆，会覆盖当前加密文件】
用ShadowExplorer手动提取卷影副本
方法一：下载ShadowExplorer（官网shadowexplorer.com，确认SHA256校验值匹配）→ 以管理员身份运行 → 左侧选择系统盘（通常是C:）→ 上方时间栏选中最早可用的快照 → 右侧展开目录树，定位到被加密文件所在路径（如D:\Projects\）。
方法二：在文件列表中找到原始文件名（如invoice.xlsx，而非invoice.xlsx.locked）→ 右键 → “导出” → 选择U盘或另一块物理硬盘的路径保存，**绝不能导出到原分区**。
ShadowExplorer不依赖“以前的版本”界面，可绕过部分病毒对VSS服务的禁用逻辑，尤其适用于Win10 20H2及以上版本中被隐藏的卷影存储。
