近期安全监测显示，部分服务器文件被批量加密并追加 .ths 后缀，目录内常见 hello.txt 勒索说明。该变种与 Sorry/TellYouThePass 家族特征相近，影响对象多为业务数据、文档和数据库备份。

一、如何识别 .ths 加密异常

同一目录内大量文件名同时出现 .ths 后缀、无法正常打开，且伴随 hello.txt 提示文件，应按勒索事件处理。请记录首次发现时间、受影响主机和共享目录范围；不要删除提示文件，也不要覆盖原始文件。

二、发现后先做哪些保护

立即隔离受影响设备，暂停共享写入和自动同步，避免加密继续扩散。保留少量加密样本、对应的未加密同类文件、勒索说明及相关日志，交由专业人员检测。不要反复运行来源不明的解密工具，以免造成二次损坏。

三、能否直接解密或恢复

目前暂无可靠公开解密工具可保证恢复，且不同受害环境的加密情况可能不同。可优先核查离线备份、快照和未受影响副本的完整性；任何恢复操作应在副本上评估后再执行，不建议直接改动原始介质。

四、数据恢复检测服务

极越数据恢复可依据样本、存储介质和备份状态进行加密特征与可恢复性检测，给出可行方案。请先完整保留原始介质、日志和勒索说明，避免重装系统、格式化或写入新数据。