样本显示 SQL 文件、业务表格、文本资料与系统连接文件统一追加 .bixi 后缀，说明攻击已覆盖业务数据库和运营资料。工程师完成脱敏取样后，对数据库与办公文件分别做恢复测试，最终在24小时内完成关键业务资料恢复。

案例背景

本文依据真实案例素材脱敏整理，保留了后缀特征、样本类型和恢复过程中的关键判断信息，不展示客户身份、设备编号、合同信息和内部路径。

现场样本特征

• 现场文件统一出现对应后缀变更，具备明确批量加密特征。
• 样本中可见文档、图片、日志、配置或数据库文件受影响，说明攻击范围不是单一目录。
• 保留了勒索说明、目录结构、时间线或密文样本，能够支撑真实恢复判断。

恢复对象

• 业务文档与办公资料
• 图片、模板、配置或日志文件
• 涉及数据库或虚拟化场景的关键业务数据

恢复时长

24小时内完成

恢复结果

• 核心业务数据恢复成功
• 关键目录与主要文件可正常交付验收
• 恢复后保留样本用于后续排查与加固

处置建议

• 发现文件被加密后立即停止写入，优先断开外网与共享传播路径。
• 保留原始密文、勒索说明、系统日志和目录结构，不要先重装或覆盖源盘。
• 先做样本检测和恢复评估，再决定恢复顺序和环境重建方式。