疑似勒索软件攻击：开机后HDD持续红灯闪烁，紧急关机求助

首先别太慌——开机后HDD持续闪灯不一定就是勒索软件攻击，先帮你拆解可能性，再给具体的排查和应对步骤：

一、先判断是不是勒索软件 #

勒索软件攻击通常有几个典型特征，你可以对照看看：

• 它不会只悄悄读写磁盘，一般加密完文件后会弹出明显的勒索提示（比如弹窗、桌面文档里的勒索信）；
• 多数勒索软件不会只针对HDD里的文档媒体，连你的/home分区（在SSD上）里的个人文件也可能被波及；
• 大规模加密时，系统进程占用会很高，你大概率能感觉到系统卡顿。

所以从你描述的「开机没操作就闪灯，两分钟后关机」来看，勒索软件的可能性不是最高的，更常见的是系统自带的自动任务在后台运行。

二、常见的非恶意原因 #

这些情况都会导致HDD持续读写，而且很容易被误以为是异常：

• 文件索引更新：Ubuntu自带的updatedb工具会定期遍历磁盘生成文件索引，方便你用locate命令快速找文件。如果你的HDD很久没被扫描过，开机后它会一次性扫描所有文件，导致红灯一直闪；
• 自动备份触发：如果你之前设置过Timeshift或者其他备份工具的自动备份任务，开机后可能会自动启动备份，读取HDD里的内容；
• 磁盘自动检查：如果上次关机是异常断电，系统开机后会自动运行fsck检查HDD的文件系统，这个过程会持续读写磁盘；
• 媒体索引服务：GNOME的Tracker或者KDE的Baloo会自动索引图片、视频、音乐这些媒体文件，第一次运行或者HDD里新增了大量媒体文件时，会全量扫描磁盘。

三、具体排查与应对步骤 #

第一步：安全排查勒索软件（最优先） #

为了避免恶意进程继续运行，建议用Ubuntu安装U盘启动Live系统：

1. 插入Ubuntu安装U盘，从U盘启动，选择「Try Ubuntu」进入Live环境；
2. 只读挂载HDD（更安全）：打开终端，先看HDD的设备名（用lsblk命令，找对应容量的磁盘，比如/dev/sdb），然后执行：

   sudo mount -o ro /dev/sdb1 /mnt  # 把sdb1换成你的HDD分区名
   

3. 进入/mnt目录，检查你的文档、视频、音乐能不能正常打开，有没有被重命名（比如加了.locky、.crypt这类奇怪后缀），有没有出现类似README_RANSOM.txt的勒索信文件；
4. 挂载SSD的系统分区，查看/var/log/syslog和/var/log/auth.log，找开机那段时间的日志，看有没有陌生进程、异常登录记录或者奇怪的命令执行痕迹。

第二步：排除非恶意原因 #

如果确认不是勒索软件，按以下步骤排查：

• 检查定时任务：运行systemctl list-timers查看系统的定时任务，或者查看/etc/cron.d/、/etc/cron.hourly/这些目录下的脚本，看有没有开机触发的任务；
• 检查索引服务：
  • GNOME用户：终端运行tracker-status看是否在索引，要是在跑可以用tracker-reset暂时停止；
  • KDE用户：打开系统设置里的「搜索」选项，查看Baloo的状态，暂时禁用它观察红灯是否停止；
• 检查磁盘健康：安装smartmontools（sudo apt install smartmontools），然后执行smartctl -a /dev/sdb（替换成你的HDD设备名），查看SMART数据，确认磁盘有没有坏道或者硬件故障；
• 检查备份工具：打开你用的备份软件（比如Timeshift），查看日志，看是不是开机自动启动了备份。

第三步：后续防护措施 #

不管这次是不是勒索软件，都可以做这些防护：

• 关闭不必要的远程服务：比如SSH如果不用，就用sudo systemctl disable --now ssh关掉，减少攻击入口；
• 定期更新系统：每周运行sudo apt update && sudo apt upgrade，修复安全漏洞；
• 离线备份重要数据：把HDD里的文档、媒体定期备份到另一块离线磁盘，避免万一出问题丢失数据；
• 安装安全工具：可以用rkhunter或者chkrootkit扫描系统是否有rootkit，或者用ClamAV查杀恶意软件。

内容的提问来源于stack exchange，提问作者Carlos Freites