| 扩展名 | 固定后缀（.locked/.encrypted）或随机串 |
|---|---|
| 勒索信 | README/HOW_TO_DECRYPT/*.hta 等说明文件 |
| 时间特征 | 大量文件 mtime 集中在几分钟内 |
| 第一步 | 保留加密样本与勒索信，勿覆盖 |
定位加密迹象与勒索信
定位加密迹象与勒索信
find /data -xdev -type f -mmin -120 | head -n 50
find /data -xdev -type f -mmin -120 | awk -F. '{print $NF}' | sort | uniq -c | sort -rn | head
find /data -xdev -maxdepth 6 -iname '*DECRYPT*' 2>/dev/null | head
find /data -xdev -maxdepth 6 -iname '*RECOVER*' 2>/dev/null | head不要全盘打开加密文件试恢复：可能触发二次加密或破坏样本；先保留原样。