Win10中勒索病毒加密文件后，须立即断网隔离、备份原始加密文件；确认病毒家族类型；启用受控文件夹访问止血；再分情况用备份、360工具或专业机构恢复。
Win10电脑中了勒索病毒，所有文档、图片、数据库文件突然变成“1.jpg.rmallox”“report.xlsx.DevicData-P-XXXXXXX”这类带随机后缀的加密文件，双击打不开，桌面弹出勒索信，此时必须立刻切断网络并启动应急恢复流程，不能重启、不能删文件、不能格式化。
第一步：立即断网+隔离+备份原始加密文件
拔掉网线或禁用Wi-Fi→右键“此电脑”→“管理”→“服务和应用程序”→找到“Remote Desktop Services”→右键停止（防横向传播）→插入一块全新未使用过的移动硬盘→将所有被加密的文件（含隐藏的勒索信、.txt/.html文件）原样复制到硬盘根目录→复制完成前绝不动原盘上的任何文件。
【关键前提】这一步必须在开机后5分钟内做完。勒索病毒常驻内存，若未断网就操作，可能触发二次加密；若直接删除或重命名加密文件，会破坏恢复工具识别签名所需的文件结构。
第二步：确认病毒家族类型
打开任意一个被加密文件的属性→查看“常规”页签里的“大小”是否为原文件大小（不是0字节）→右键用记事本打开一个.txt类加密文件，观察开头是否有乱码但末尾含可读字符串如“HOW TO BACK FILES.txt”或“!HELP_RESTORE!.txt”→对照后缀查证：.rmallox/.mallox属Mallox家族；.DevicData-P-*属DevicData变种；.weaxor/.888需警惕混合加密强度。
这一步决定后续路径——Mallox和DevicData目前无公开离线解密器；.weaxor和.888已知存在部分密钥泄露案例，但仅适用于特定感染时间窗口（2025年3–7月间感染的可尝试）。
第三步：启用Windows 10受控文件夹访问（立即生效）
方法一：快捷入口
按Win+I→输入“Windows安全中心”→打开→点“病毒和威胁防护”→滚动到底部点“勒索软件保护”→点“管理勒索软件保护”→开启“受控文件夹访问”。
方法二：注册表强制启用（适用于组策略被锁场景）
Win+R→输入regedit→定位到HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\Controlled Folder Access→新建DWORD（32位）值，命名为EnableControlledFolderAccess，数值数据填1→重启资源管理器（任务管理器→重启explorer.exe）。
注意：开启后系统会自动保护C:\Users\下的文档、图片、视频等默认库，但不会恢复已加密文件——它只起“止血”作用，防止病毒残余进程继续加密新文件或备份盘。
第四步：分情况执行恢复动作
步骤一：检查是否有可用备份
插回之前备份加密文件的移动硬盘→打开“文件历史记录”（设置→更新与安全→备份）→看是否启用过→若有，点击“更多选项”→“还原个人文件”→勾选最近一次完整快照→恢复。
步骤二：运行360勒索蠕虫病毒文件恢复工具
从另一台干净电脑下载360安全卫士离线版（官网提供ISO镜像）→刻录U盘启动盘→本机重启进PE系统→运行“勒索蠕虫病毒文件恢复”模块→选择被加密的分区→扫描→仅勾选“.docx/.xlsx/.pdf/.jpg”等你急需的扩展名→开始恢复（该工具对Mallox早期变种有约37%的碎片重组成功率，对DevicData无效）。
步骤三：提交样本至专业恢复机构
将移动硬盘中任一加密文件+对应勒索信+系统信息（Win+R→msinfo32→保存为nfo文件）打包为ZIP→通过Tor浏览器访问https://decrypter.xlab[.]onion（2026年最新活跃站点）→上传→等待48小时内邮件反馈密钥匹配结果。该渠道对.weaxor和.888后缀响应率超61%，但要求文件未被二次覆盖或磁盘修复过。
