某企业 ESXi 主机遭遇加密攻击后，多个虚拟机目录中的 .vmdk 与关联配置文件异常，ERP 与文件共享业务一度中断。现场保留了 datastore 结构、虚拟磁盘描述文件和关键日志。处理时优先固定虚拟化现场，再分析磁盘链路和快照关系，逐步恢复关键虚拟机数据。

案例背景

本文依据真实案例素材脱敏整理，保留了后缀特征、样本类型和恢复过程中的关键判断信息，不展示客户身份、设备编号、合同信息和内部路径。

现场样本特征

• 现场文件统一出现对应后缀变更，具备明确批量加密特征。
• 样本中可见文档、图片、日志、配置或数据库文件受影响，说明攻击范围不是单一目录。
• 保留了勒索说明、目录结构、时间线或密文样本，能够支撑真实恢复判断。

恢复对象

• 业务文档与办公资料
• 图片、模板、配置或日志文件
• 涉及数据库或虚拟化场景的关键业务数据

恢复时长

24小时内完成

恢复结果

• 核心业务数据恢复成功
• 关键目录与主要文件可正常交付验收
• 恢复后保留样本用于后续排查与加固

处置建议

• 发现文件被加密后立即停止写入，优先断开外网与共享传播路径。
• 保留原始密文、勒索说明、系统日志和目录结构，不要先重装或覆盖源盘。
• 先做样本检测和恢复评估，再决定恢复顺序和环境重建方式。