翔安电子厂服务器中了勒索病毒怎么办？别付赎金先断网 - 电子制造IT解决方案

上周二早上八点半，翔安工业区一家做电子元器件的厂子，行政小陈打开电脑准备查库存，发现桌面壁纸变成了红色警告——所有文件后缀多了个奇怪的扩展名，文件夹里多了个README.txt，上面写着：你的文件已被加密，3天内支付2个比特币，否则永远无法恢复。

老板打电话过来的时候嗓子都哑了。厂里有30台电脑，一台戴尔R730服务器跑用友T+和MES，NAS上存着3年的生产数据。他第一反应是赶紧找人解密，还说要不要付赎金先保数据。

说实话，这种反应太常见了。但我得把一句丑话说在前头——付赎金是最差的选择。统计数据显示付了赎金只有65%收到解密密钥，而且付过钱的企业会被标注为愿意付款，下次再被攻击的概率翻3倍。

我们到现场第一步不是解密，是断网。拔网线、关WiFi、切断交换机端口，先把感染范围锁住。然后逐台排查——发现只有服务器和旁边4台电脑被加密，其余26台还没动。如果小陈再晚半小时开电脑，病毒会通过445端口在内网扩散，30台全完。

排查入侵路径的时候，看服务器安全日志就明白了——凌晨2点17分，有人从外网通过RDP远程桌面登录了服务器，用的是administrator账号，密码是admin123。你没看错，一台跑ERP和MES的生产服务器，管理员密码是admin123。勒索团伙用自动化工具爆破弱口令，这台服务器从公网直接就能连3389端口，等于是大门敞着让人进来搬东西。

这家厂子还算运气好。他们去年买了个群晖DS920+做文件备份，虽然备份策略不完善——只做了每日增量备份，没有做离线快照——但病毒加密的时候NAS刚好在做备份任务，磁盘IO锁住了部分共享文件夹，反而让最近一周的备份文件没被加密。就这么巧，3年的生产数据保住了85%。

恢复过程其实不复杂：先把服务器重装系统，用干净镜像恢复；然后从NAS把备份数据拷回来；用友T+的数据库从备份还原后跑了两个小时校验，确认数据完整；MES系统重新配置连接。48小时，生产线重新开工。老板说这48小时停工损失大概4万块左右——比起付赎金2个比特币（当时大约12万人民币），或者数据全丢重建系统要一两周，算捡了个大便宜。

但这事让我挺恼火的。不是因为勒索病毒本身——这东西2026年还在大规模攻击制造业，属于常态。恼火的是，这种事完全可以避免。3389端口对外网开放、管理员弱口令、没有关闭445端口、没有做离线备份快照、终端没装任何安全软件——五道防线全缺。随便堵住其中两道，这次攻击就不会成功。

翔安工业区这片电子厂密集，MES和ERP系统几乎每家都在跑。但说实话，大多数厂子的服务器安全状态跟这家差不多——密码简单、端口暴露、备份只做了一半。勒索团伙专盯制造业，因为你们停线一天损失就上万，比攻击个人电脑赚得多。

重要的不是中了以后怎么办，而是怎么让它中不了。端口封好、密码改掉、补丁打上、备份做3-2-1（3份副本、2种介质、1份异地离线），再装个终端安全软件守住最后一道门——这几步做完，勒索病毒基本进不来。戴维信安在翔安工业区帮十几家电子厂做过安全加固，做完之后没一家再中过勒索。

重要数据先备份好，出了事再找我们应急也行，但较好别出事。