现场样本中，HTML 页面、PNG/JPG 图片及业务资料统一追加 .sorry 后缀，并伴随 README 勒索说明。根据样本特征可判断其影响了站点文件与业务素材。工程师先固定密文和说明文件，再对网页、图片和业务文件分批恢复，最终在24小时内完成主要数据恢复。

案例背景

本文依据真实案例素材脱敏整理，保留了后缀特征、样本类型和恢复过程中的关键判断信息，不展示客户身份、设备编号、合同信息和内部路径。

现场样本特征

• 现场文件统一出现对应后缀变更，具备明确批量加密特征。
• 样本中可见文档、图片、日志、配置或数据库文件受影响，说明攻击范围不是单一目录。
• 保留了勒索说明、目录结构、时间线或密文样本，能够支撑真实恢复判断。

恢复对象

• 业务文档与办公资料
• 图片、模板、配置或日志文件
• 涉及数据库或虚拟化场景的关键业务数据

恢复时长

24小时内完成

恢复结果

• 核心业务数据恢复成功
• 关键目录与主要文件可正常交付验收
• 恢复后保留样本用于后续排查与加固

处置建议

• 发现文件被加密后立即停止写入，优先断开外网与共享传播路径。
• 保留原始密文、勒索说明、系统日志和目录结构，不要先重装或覆盖源盘。
• 先做样本检测和恢复评估，再决定恢复顺序和环境重建方式。