Azure存储卷文件遭El Dorado勒索病毒攻击，文件名追加.00000001且损坏的技术求助

你好，针对你遇到的情况——两天前Azure备份卷里的上千个文件全部被追加.00000001后缀，文件大小不变但内容完全损坏，且确认是El Dorado勒索病毒，给你整理了一些实用的应对建议：

• 紧急隔离，防止扩散：马上断开这个存储卷和所有关联设备、服务器的连接，不要在可能受感染的环境里进行任何无关操作，避免病毒蔓延到其他存储资源。
• 绝对不要支付赎金：支付赎金不仅不能保证你能拿回数据，还会让勒索团伙变本加厉，甚至可能导致你的信息被泄露到暗网。
• 优先尝试备份恢复：检查你是否有Azure存储的快照备份，或者离线的异地备份介质——这是目前恢复数据最靠谱的方式。如果之前没做离线备份，这次之后一定要补上，云备份+离线备份的组合才更安全。
• 收集信息上报分析：把几个被加密的小文件样本、Azure存储的访问日志、关联服务器的系统日志收集起来，提交给微软安全响应团队和本地网络安全部门，帮助他们追踪病毒变种，也有可能获得针对性的帮助。
• 排查入侵根源：复盘近期的操作，比如有没有点击可疑邮件、使用弱密码、或者Azure存储密钥泄露？El Dorado常见的入侵途径是钓鱼邮件、未修补的系统漏洞，找到问题根源才能避免再次被攻击。
• 解密工具现状：目前公开的El Dorado解密工具只针对特定变种有效，如果你这个是新变种，自行解密的概率很低。不要轻信网上的付费解密服务，大多是诈骗，建议关注卡巴斯基、迈克菲这类安全厂商的官方动态，看看有没有针对该变种的解密工具发布。

另外，后续一定要强化安全措施：开启Azure存储的高级威胁防护，定期轮换访问密钥，给所有关联服务器打满安全补丁，组织员工做钓鱼防护培训，从多个层面降低被攻击的风险。

备注：内容来源于stack exchange，提问作者Black