2026年7月16日，ReliaQuest在Q2 2026勒索与网络勒索观察中确认Deadlock家族重新活跃。公开情报显示，该家族在沉寂约11个月后于6月再次出现，单月公开受害者数量达到75起。样本常见识别点包括文件被追加.dlock后缀、攻击过程中滥用AnyDesk维持远程访问，以及在加密前删除卷影副本、关闭部分安全防护进程。

一、感染后如何快速识别

如果服务器、办公终端或虚拟化环境中大量文档、图片、数据库文件突然无法打开，且文件名统一变成“.dlock”，基本可以先按Deadlock方向排查。根据ReliaQuest公开分析，该家族还可能结合RDP横向移动、PowerShell执行提权和关闭防护动作。企业侧最重要的是先确认受影响主机范围，保留勒索说明、进程痕迹、日志与加密样本，不要直接重装或批量改名。

二、建议的应急处理流程

第一步，立即断开受感染主机与办公网、服务器网、备份网络的连接，避免继续横向扩散。第二步，保留当前磁盘环境、内存证据、系统日志、安全设备日志和勒索说明文件。第三步，检查是否存在离线备份、快照、数据库归档日志或异地副本。第四步，评估是否只是文件层加密，还是已经涉及数据库、虚拟机磁盘、共享存储与域环境。对于Windows服务器、NAS、VMware、ESXi和数据库主机，这一步非常关键。

三、当前解密与恢复结论

截至目前，未确认存在针对Deadlock .dlock后缀的可靠公开通用解密工具，不能承诺一定解密。实际恢复可行性通常取决于加密范围、是否覆盖原文件、是否存在卷快照、备份副本、数据库日志、临时文件或底层残留数据。若样本仅加密业务数据、系统分区破坏较轻，部分场景可通过备份回切、数据库重组、虚拟磁盘修复和底层数据恢复方式降低损失。

四、广州捷越的处理方式

我们建议先做免费检测：核对加密后缀、勒索说明、样本特征、系统版本、存储结构和备份现状，再判断是否存在公开解密路径、备份恢复路径或数据恢复路径。检测通过后，可按场景提供Windows/Linux服务器恢复、NAS/RAID恢复、VMware/ESXi虚拟机恢复、SQL Server与Oracle数据库恢复等服务。客户需优先保留加密文件、勒索说明和原始磁盘环境，避免二次覆盖。

五、后续加固建议

完成应急后，应重点复核远程桌面权限、AnyDesk等远程控制工具使用情况、本地管理员口令、MFA、多版本备份和安全日志保留策略。对重要服务器建议实行分区隔离、最小权限、补丁更新和恢复演练。发现文件被加密后，可先联系我们进行样本检测与恢复评估，再决定下一步处置方案。