不止锁文件，.rox 攻击会清除日志销毁痕迹，出事之后溯源取证难上加难
- 客户名称：国内某公司
- 售前服务顾问：陈顾问
- 恢复工程师：刘工
- 恢复工期：一天
- 恢复范围：一台服务器
- 恢复率：100%
街面上做设计、图文、广告的公司，老板们凑在一起聊的都是活：这月单多不多、客户拖不拖款、临时工好不好找。很少有人聊"我们店里几台电脑的账号是不是同一个"。数据安全问题刻不容缓，您可添加我们的技术服务号（huifu234），我们将第一时间为您提供专业的解决方案，保障您的数据安全。但真出事的时候，往往不是一台电脑趴下，是整间屋子一起停。.rox 这类变种对"设计工作室"这种场景格外顺手：机器多、共享盘是唯一工作区、素材和字体到处拷、旺季临时加人加机、赶工的时候谁都没空备份。这几件事单看都不算毛病，叠在一起就成了一条完整的通道。
不止锁文件，.rox 攻击会清除日志销毁痕迹，出事之后溯源取证难上加难
案例简介：
街面上做设计、图文、广告的公司，老板们凑在一起聊的都是活：这月单多不多、客户拖不拖款、临时工好不好找。很少有人聊"我们店里几台电脑的账号是不是同一个"。数据安全问题刻不容缓，您可添加我们的技术服务号（huifu234），我们将第一时间为您提供专业的解决方案，保障您的数据安全。但真出事的时候，往往不是一台电脑趴下，是整间屋子一起停。.rox 这类变种对"设计工作室"这种场景格外顺手：机器多、共享盘是唯一工作区、素材和字体到处拷、旺季临时加人加机、赶工的时候谁都没空备份。这几件事单看都不算毛病，叠在一起就成了一条完整的通道。
序言
街面上做设计、图文、广告的公司，老板们凑在一起聊的都是活：这月单多不多、客户拖不拖款、临时工好不好找。很少有人聊"我们店里几台电脑的账号是不是同一个"。数据安全问题刻不容缓，您可添加我们的技术服务号（huifu234），我们将第一时间为您提供专业的解决方案，保障您的数据安全。但真出事的时候，往往不是一台电脑趴下，是整间屋子一起停。.rox 这类变种对"设计工作室"这种场景格外顺手：机器多、共享盘是唯一工作区、素材和字体到处拷、旺季临时加人加机、赶工的时候谁都没空备份。这几件事单看都不算毛病，叠在一起就成了一条完整的通道。
这篇按街坊闲聊的口气讲，用"季节与行业"这条线，把集体中招的根源一条条摊开，也顺手给出赶旺季之前能做的事。
一、先说个街坊都懂的规律：越忙的时候越容易出事
【旺季是怎么把风险堆起来的】
- 8月底到9月初：开学季，学校、培训机构的物料扎堆，改稿改到半夜；
- 10月到11月：双11、年货节，电商图、详情页、包装设计集中交付；
- 5月和10月：婚庆旺季，请柬、相册、展架一趟接一趟；
- 3月到4月、9月到10月：装修旺季，效果图、施工图、报价单一起来；
- 5月到6月：毕业季，论文排版、作品集、展板；
- 展会前后：展板、画册、样册，交期最紧。
共同点只有一个：机器不够用、人不熟、时间不够、备份先放一放。
【忙起来最先被牺牲的，永远是三件事】
- 备份：想着"等这批交完再拷"；
- 权限：新来的临时工直接给管理员账号，能省事；
- 来源核验：客户发来的压缩包，来不及看，先解压再说。
二、集体中招的五个根源，通常不是单独出现
【根源一：一份素材包，装遍了所有机器】 现场很常见：
- 老板在网上买了一份"设计素材大礼包"，几百G字体、模板、笔刷；
- 或者图省事，从某个群里下了"破解版软件全家桶"，一次装到五台机器；
- 这份包的来源没人核实过，里面夹带什么也没人查过。
后果很直接：同一份带毒的东西，在同一时间被装进了每一台机器。这不是"一台先中、慢慢传"，而是"从一开始就都中了"。
【根源二：共享盘是唯一工作区】 现场很常见：
- 所有源文件都放在 NAS 或共享文件夹里，本地不留副本；
- 设计、排版、输出都直接在共享盘上打开、另存；
- 共享权限对全员开放完全控制，谁都能写。
后果：只要有一台机器把加密结果写进共享盘，其他机器打开的就是已经被改过的文件。文件其实只有一份，坏一次等于全坏。
【根源三：U盘和移动硬盘在客户现场来回跑】 现场很常见：
- 客户把源文件拷在U盘上带过来，插进前台机；
- 打印、输出、送样，素材装在移动硬盘里去街对面的输出中心；
- 拿回来再插进设计机、装订机旁的旧电脑。
后果：这一类介质是"跨店传播"的主力。.rox 对挂载的存储很敏感，插上就被扫。
【根源四：临时人手与外包机器】 现场很常见：
- 旺季招两个兼职，用自己笔记本接入内网干活；
- 外包排版的师傅把自己的机器搬进来，直接连共享盘；
- 这些机器补丁状态、防护状态、装过什么，没人清楚。
后果：内网里多了几台"没人管"的机器，它们既可能带病进来，也可能成为扩散的中转。
【根源五：图省事，全店一个管理员口令】 现场很常见：
- 五台电脑用同一个账号、同一个口令，方便谁都能上机；
- 口令贴在显示器边上，或写在收银台的便签上；
- 装软件、改设置、日常干活，全在这个账号下。
后果：一台机器的凭据被拿走，等于五台一起交出去。
面对网络攻击导致的数据危机，不必独自应对，可寻求专业数据恢复机构咨询或处理。联系我们的vx技术服务号（huifu234），我们将分享行业领先的恢复技术，助您尽快恢复正常工作。
三、怎么判断是"一次中毒"还是"几台各自中毒"
【看三个时间点对不对得上】
- 文件被改写的起始时间：几台机器如果集中在同一两小时内，通常是一次扩散；
- 说明文档的生成时间：同一份说明文档在不同机器上出现，时间接近，说明同源；
- 计划任务与启动项的新增时间：几台机器出现结构相似的随机命名任务，多半是同一批投放。
【再看三条痕迹】
- 共享盘的写入记录：哪些账号、在什么时间、往哪些目录写了大量文件；
- 介质插入记录：哪几台机器插过同一支U盘或移动硬盘；
- 账号登录记录：是否用同一个账号在多台机器上非工作时段登录。
这三条一对，基本能说清"源头在哪、怎么传开的"。
四、赶旺季之前，花半天能做的几件事
【第一件：素材和软件，过一遍来源】
- 素材包、字体包、模板包，只从可信渠道拿；
- 破解版、绿色版能不装就不装，尤其不要一份装遍全店；
- 新装的东西，先在一台不联网的机器上开一遍看看。
【第二件：共享盘别当唯一工作区】
- 正在做的稿子，本地留一份工作副本；
- 共享盘权限按人分配，输出、设计、前台分开，别全员完全控制；
- 共享盘开启访问日志，出问题能查是谁写的。
【第三件：介质定规矩】
- 客户带来的U盘，先在前台那台不联网的旧机器上过一遍；
- 出去送样的移动硬盘，回来先扫再用；
- 一人一支U盘，别混着用。
【第四件：外来机器先隔离】
- 兼职、外包的机器接入前，先确认防护与补丁状态；
- 能不给共享权限就不给，需要传文件走指定目录；
- 干完活撤销权限，别一直挂着。
【第五件：账号分开，口令别贴墙上】
- 一人一个账号，管理员账号只在装软件时用；
- 口令别写在显示器边、收银台上；
- 有人离职、兼职结束，当天就把账号停掉。
【第六件：备份别等"这批交完"】
- 每周固定一天，把备份盘接上同步，同步完立刻拔掉；
- 正在赶的大项目，本地、移动盘各留一份；
- 备份盘不要常年插在机器上。
五、已经中招了，这几件事别做
- 别重启：会清掉内存痕迹，还可能触发已经写好的计划任务；
- 别全盘杀毒：会继续往磁盘写，把还没被覆盖的原始数据再压一层；
- 别急着插移动硬盘拷文件：备份盘一插上，跟着被加密，退路就没了；
- 别在共享盘上反复打开文件试：每一次访问都可能是一次写入；
- 别随便下网上的"恢复工具"：来路不明的工具本身也可能是二次风险。
该做的顺序是：先断网、暂停共享盘访问、拍照留证、逐台记录异常、再核验离线备份、最后才谈恢复。
