收到简历后出现脚本告警或文件无法打开，应先隔离相关电脑，再核实邮件、文档和进程记录。Funhouse相关研究提醒企业：招聘终端也可能成为勒索入侵入口。文件能否恢复须结合样本与备份判断，不能把删除恶意程序当作完成解密，也不应在唯一原件上试用来历不明的工具。

公开研究说了什么？先分清报道日期与事件时间

据AhnLab安全情报中心ASEC公开信息，一起Funhouse传播案例以伪装成简历的HWP文档为入口，文档内的链接会触发后续恶意流程。研究描述了多阶段脚本及Quasar RAT参与投递的过程，并将其与既有Endpoint相关活动进行比较。这是研究机构的分析结论，本文未独立取得攻击样本。

ASEC英文原文页面标注2026年10月1日，案例比较表将相关活动列为2026年9月。近期其他网站再次报道，并不代表事件在转载当天发生；本文也不据此推断国内企业正在遭遇同一轮攻击。公开案例中的文件后缀为.Funhouse，不能仅凭后缀相似就认定感染同一种病毒。

招聘电脑排查：把一封邮件串成时间线

以下是面向企业管理员的排查建议，而非对该案例新增技术细节的断言。先记录简历接收、下载、打开及告警时间，再将邮件附件、浏览器下载记录、终端告警和账号登录记录放在同一条时间线上。这样有助于分清“收到文件”与“已发生执行”，避免仅凭邮箱中有附件就宣布全部系统失陷。

• 核对实际文件类型：检查完整扩展名及邮件来源，不以文件图标或“PDF版简历”等描述代替判断；不要为验证风险再次双击可疑文件。
• 查看异常进程关系：关注办公文档程序之后出现的脚本执行、陌生程序及异常联网，并结合时间和告警分析；脚本工具本身也有正常管理用途，不能只看进程名称定性。
• 检查账号能触及哪里：列出招聘账号可写入的共享盘、同步目录及业务系统，逐项检查异常改名、删除和批量修改，缩小实际影响范围。
• 保留可复查材料：保存原邮件、附件副本、告警导出和处理时间，不把敏感求职资料随意上传到公开扫描或文件分享网站。

文件被加密后，先保护恢复条件

CISA的通用勒索响应指南建议识别受影响系统并立即隔离，同时避免恢复过程中再次感染。这些是普适应急原则，并非对Funhouse个案的独立验证。企业应停止受影响共享目录的访问和同步扩散，由应急人员保存必要日志、勒索信与加密文件，优先为原始介质制作镜像。

不要格式化原磁盘、反复重装系统或继续大量写入数据；不要直接修改加密文件，也不要删除勒索信。测试应在副本和隔离环境内进行。若电脑尚未出现加密，也不能因为文档已删除就结束排查，仍需检查是否有未经授权的远程访问及持续运行的程序。

当前是否可以解密？恢复路径需要逐项验证

截至2026年10月14日本次核查，No More Ransom公开解密工具目录中未检索到以Funhouse命名的条目。这不等同于证明所有样本都无法恢复，也不能证明其他名称的工具适用于该样本。实际判断需要核对家族、版本、文件特征与工具支持条件；不要把“支持勒索恢复”的商业介绍当作公开解密器发布证据。

验收不能止于“文件能打开”。表格应检查关键工作表与公式，业务数据应核对记录数量及时间范围，数据库应完成一致性检查和应用读取测试。小样本测试的结果，只能说明已测试文件的情况，不能自动推广为全部文件均可恢复。

复工前补上招聘流程的防护环节

建议将简历处理账号与系统管理账号分开，限制招聘电脑对核心业务共享目录的写权限；为邮件和远程访问启用多因素认证，并保持办公软件与系统更新。招聘渠道应明确可接收的文件类型，让员工遇到“点击链接查看完整简历”或要求运行程序时有固定上报渠道。

备份方面，CISA建议保留离线、加密的关键数据备份并定期测试。企业可将演练具体化为：抽取一份招聘资料与一项核心业务数据，在隔离环境恢复，记录耗时、缺失项和验收人。只有确认终端、账号和恢复环境均可安全使用后，才逐步恢复共享权限。

广州捷越网络科技有限公司可提供勒索病毒分析、文件与数据库恢复评估及安全排查服务。评估应以实际材料为依据，说明可恢复范围与限制，不承诺所有样本均可解密。

参考资料与核查边界

ASEC：From Endpoint to Funhouse: Evolution of Ransomware Families and Kimsuky-Linked Distribution Cases（英文页面标注2026年10月1日）；CISA：#StopRansomware Guide；No More Ransom：Decryption Tools。本文于2026年10月14日核查。事件技术信息主要来自ASEC，其他两项用于通用响应及工具目录核验，不构成对事件归因的独立证据。