现场可见表格、PDF 图纸、文档和图片文件统一追加带 ID 标识的 .eking 后缀，说明攻击覆盖了项目资料与业务文档。工程师完成脱敏取样后，对文件结构与批量加密特征做比对，并按业务优先级恢复，最终在24小时内完成核心资料恢复。

案例背景

本文依据真实案例素材脱敏整理，保留了后缀特征、样本类型和恢复过程中的关键判断信息，不展示客户身份、设备编号、合同信息和内部路径。

现场样本特征

• 现场文件统一出现对应后缀变更，具备明确批量加密特征。
• 样本中可见文档、图片、日志、配置或数据库文件受影响，说明攻击范围不是单一目录。
• 保留了勒索说明、目录结构、时间线或密文样本，能够支撑真实恢复判断。

恢复对象

• 业务文档与办公资料
• 图片、模板、配置或日志文件
• 涉及数据库或虚拟化场景的关键业务数据

恢复时长

24小时内完成

恢复结果

• 核心业务数据恢复成功
• 关键目录与主要文件可正常交付验收
• 恢复后保留样本用于后续排查与加固

处置建议

• 发现文件被加密后立即停止写入，优先断开外网与共享传播路径。
• 保留原始密文、勒索说明、系统日志和目录结构，不要先重装或覆盖源盘。
• 先做样本检测和恢复评估，再决定恢复顺序和环境重建方式。