檔案名突然多咗一截、全部開唔到：勒索軟件改名背後嘅真相，改返名點解救唔返

引言：由第一眼講起，唔好由家族名講起

你打開資料夾，發現啲檔案名後面多咗一截怪字——可能係一串英文數字，可能係一個固定詞語——雙擊之後全部開唔到；每個資料夾入面仲多咗一封勒索信。讀者喺呢一刻最驚嘅唔係「呢隻病毒叫咩名」，而係「我啲檔案係咪已經冇晒？」跟住第二個念頭就係「改返個名得唔得？」呢篇由第一眼講起，先講最重要嗰句，唔賣關子：改返名通常開唔返，因為問題唔喺個名，而係入面內容已經加密咗。副檔名只係個名，內容本身已經由可讀格式變成加密後嘅亂碼；改名等於將一個上咗鎖嘅箱換個標籤，鎖本身冇開到。

先講明呢篇同之前幾篇勒索文章嘅分界，免得讀者對錯篇：之前嗰篇《勒索軟件第一小時應對》講中招之後即刻要做嘅應對流程，《免費解密工具陷阱》講免費工具點樣呃人，《備份還原》講還原步驟，《經網絡同 NAS 擴散》講擴散機制。呢篇唔重寫嗰啲，呢篇只答一個問題：望住成堆改晒名、開唔到嘅檔案，點樣讀懂個新名、點樣認出自己中咗邊一類、邊啲諗法係錯。斷網、斷開外置硬碟呢啲即刻要做嘅事，呢篇只會喺第五節用一句分流提示帶過，完整流程請睇第一小時應對嗰篇。

仲有一個術語要先講清楚，因為中文讀者對呢個詞嘅理解好參差：Windows 預設會隱藏已知檔案類型嘅副檔名，好多人根本唔知自己部機有副檔名呢回事。所謂副檔名，就係檔名最後面嗰截——例如「報告.docx」入面嘅「.docx」。勒索軟件做嘅，就係喺呢截後面再加多截，或者將呢截換走。下面第一節就講三種改法。

第一節：勒索軟件點樣改名——三種改法

勒索軟件讀取目標檔案，用攻擊者持有嘅公鑰加密內容，將加密後嘅位元組寫返入磁碟；大多數變種同時改名，喺原檔名後面附加新副檔名，目的係顯示邊啲檔案已被加密。具體改法有三種，讀者見到嘅通常係其中一種，認清楚邊種，先至識得點讀個新名。

第一種：原名後面加多截。例如「報告.pdf」變成「報告.pdf.怪字」，原檔名同原副檔名仲喺度，後面多咗一截新加嘅記號。呢種最常見，亦最容易令讀者誤會——因為原名仲喺度，讀者會以為「刪走後面嗰截就開得返」。唔得，原因見第三節。

第二種：原副檔名被換走。例如「報告.pdf」變成「報告.怪字」，原副檔名唔見咗，成個檔名後面只剩新加嗰截。讀者見到呢種，成日以為檔案「變咗另一種格式」，跟住上網搵「點開呢種格式嘅檔」——呢個方向本身就錯咗，因為新加嗰截唔係檔案格式，係勒索程式留低嘅記號，唔係換個程式就開到。

第三種：加埋隨機字、電郵或者受害者編號。較新嘅變種，命名模式可以包括隨機編號、聯絡方法、隨機字串三段式——例如檔名後面同時出現一組編號同一個聯絡方法。呢種最令讀者混亂，因為每隻檔案後面嗰截睇落都唔同，讀者會以為「每隻檔案中咗唔同毒」。其實唔係，同一隻變種都可以為每個受害者或者每個檔案生成唔同嘅隨機字串。重點係：新加嗰截唔係檔案格式，係記號；記號本身唔等於身份證，唔可以直接對照出邊隻病毒。

仲有一個伴隨現象要一齊睇：勒索字條通常放喺每個有加密檔案嘅資料夾，檔名例如「HOW_TO_DECRYPT.txt」「README.txt」「_readme.txt」或者類似名稱，入面說明情況、列出付款指示同聯絡方法。字條出現喺每個資料夾，唔係因為每個資料夾各自中招，而係勒索程式逐個資料夾留低同一封信。字條本身亦係辨認證據之一，見第四節——保存字條，唔好刪除。

第二節：點樣讀懂個新名——四個觀察

單憑副檔名認家族，已經過時。公開討論明確指出，而家好多家族用隨機字串做副檔名，幾十個家族可以共用同一種「隨機副檔名」模式；單憑副檔名認家族，誤認率好高。所以呢篇教嘅唔係「見到邊個副檔名就係邊隻病毒」嘅對照表，而係四個觀察——四個一齊睇，先至係辨認嘅起點。

觀察一：原檔名仲喺唔喺度？原名仲喺度（第一種改法），定係原副檔名已經被換走（第二種改法）？呢個分別話你知勒索程式點樣改名，但唔話你知邊隻病毒——兩種改法都可以出現喺唔同家族度，唔好憑呢點單獨下結論。

觀察二：新加嗰截係固定字定隨機字？固定字（例如成批檔案後面都係同一截）同隨機字（每隻檔案後面嗰截都唔同）代表唔同嘅命名習慣，但同樣唔可以直接對照出家族。隨機字串嘅出現，反而係一個警告：唔好上網用副檔名去搵「對應解密器」，因為隨機字串根本冇一個固定對應表。

觀察三：有冇夾埋電郵、聯絡方法或者受害者編號？如果新加嗰截夾埋電郵或者編號，呢啲就係辨認時有用嘅線索——但係要小心處理：唔好將攻擊者電郵地址、付款地址或者聊天連結刊登或者轉發出去，亦唔好即刻覆佢。呢啲資料係留返俾辨認同評估用，唔係俾你直接聯絡攻擊者用。

觀察四：每個資料夾係咪都有同一封勒索信？勒索信檔名同內容、信入面嘅聯絡方法同受害者編號，連同副檔名同一個唔敏感嘅加密樣本檔，四樣一齊先至係辨認證據。缺咗勒索信，好多時認唔出；反過嚟，勒索信入面嘅「限時加價」「唔好用其他工具否則永久損失」呢類講法，多數係施壓語言，唔好當成技術事實——信入面話「唔好用其他工具」，本身就係攻擊者嘅講法，唔可以當成中立建議引用。信嘅作用係辨認，唔係指令。

香港讀者仲要留意一個語言陷阱：勒索信唔一定係繁體中文。有啲信本身係英文，即使受害者喺香港，都唔一定收到繁體中文信；有啲中文信係簡體中文或者機器翻譯腔繁體中文。唔好假設勒索信一定係「標準繁體中文」，反而可以留意：用語古怪、翻譯生硬，本身都係可疑訊號之一，但唔可以單憑語言就判斷真假。更加唔好將某個舊變種嘅名（例如名稱入面有「HK」字眼嘅舊變種）當成「香港最新勒索軟件」——名稱有「HK」唔等於針對香港嘅現時威脅。

第三節：改返名點解通常冇用——同埋唯一例外要點處理

呢節要正面答全篇最核心嘅問題，唔好迴避。勒索軟件用非對稱密碼學加密：用一條鑰匙（公鑰）上鎖，另一條鑰匙（私鑰）先至開到，而私鑰由攻擊者持有。改返副檔名，只係改個名，完全冇掂到入面已經加密咗嘅內容。用 Word 或者相片檢視器「強制開啟」改名後嘅檔案，同樣道理，一樣開唔返——因為問題從來唔喺「用邊個程式開」，而喺「內容已經唔係原本嘅內容」。呢個就係點解坊間「點開呢種格式」網站最誤導：佢哋將勒索程式加嘅副檔名當成正常格式，話換個程式就開得，事實完全唔係咁。

咁係咪「改返名永遠冇用」？呢度要講得精準，唔好講得太絕對，因為講得太絕對同講得太樂觀一樣咁誤導。真相分兩層：第一層，對絕大多數現代勒索加密嚟講，改返名唔會解密，因為入面內容已經變咗，唔係個名問題。第二層，極少數舊變種只係改名而冇真加密（或者先加副檔名、後加密，中途停咗），改返名先至有機會——但呢個例外唔可以由讀者自己亂試。點解？因為亂改、批量改名、覆蓋原檔，會破壞日後辨認同解密需要嘅樣本。正確原則係：原檔唔好郁，唔好覆蓋，唔好批量改名；複製一份出嚟先再諗點驗證，驗證要由識分嘅人或者可信工具做。「改返名就開得返」同「千祈唔好改名否則永久損失」兩句都講得太絕對，讀者會混亂；分開兩層講，先至係真相。

仲有一個相關誤解要順便拆解：檔案內容睇落似隨機亂碼，係咪就等於被加密？唔一定。壓縮檔、影片、本身已經加密嘅檔案，內容熵值（隨機程度）都好高；熵值只係偵測線索之一，唔可以單獨定性。更加唔好教讀者「用熵值計數器自己確診」——呢篇只講概念：加密後嘅內容睇落似隨機亂碼、失去原格式特徵，但單憑呢點唔可以確診。確診要靠第四節嘅四樣證據一齊睇。

第四節：點樣認出自己中咗邊一類——唔好只靠副檔名

辨認要四樣證據一齊睇，缺一都可能認錯：第一，副檔名同完整新檔名；第二，勒索信檔名同內容；第三，一個唔敏感嘅加密樣本檔（最好係非敏感文件，唔好用公司機密檔案）；第四，信入面嘅聯絡方法或者受害者編號。公開嘅辨認工具（例如 No More Ransom 項目嘅 Crypto Sheriff）嘅設計前提就係咁：上載加密樣本同字條，先識別變種、再配對工具；識別唔到或者無工具時，會建議日後再查，因為新工具會陸續加入。反過嚟講，唔識別就亂試，本身就違背呢個流程。

辨認工具嘅限制，一定要老實講。公開討論指出，近年辨認工具嘅準確度已不如以往，容易出現錯誤識別或者無識別；新變種可能未入資料庫，隨機副檔名又令誤認率更高。所以「認唔出」唔等於「冇得救」，只係代表「未知道」；「認得出」亦唔等於「一定有免費工具啱你用」——工具只覆蓋部分家族，唔係全部。呢度唔引用任何舊數字（例如幾多個工具、幾多個家族），因為數字日日變，寫稿當日嘅現況要再查先至作準。

點解亂試解密工具可以毀咗唯一機會？機制係咁：部分解密工具會就地改寫檔案；用錯變種嘅工具可能寫入錯誤內容、破壞檔案頭或者覆蓋原本可用作識別、日後解密嘅結構，令日後就算出現正確工具都救唔返。呢句要寫得精準：來源支持嘅講法係「可能令情況惡化、減低日後成功機會」，唔係「用錯工具必定永久損壞」——絕對化嘅講法冇來源支持，呢篇唔會咁寫。實務守則只有三句：任何解密嘗試之前，先為加密檔案同字條做副本，唔好喺正本上試；只用識別結果配對嘅官方工具；唔好同時試多個來歷不明嘅「萬能解密器」。

證據保留清單，綜合嚟講就係：勒索字條原文（檔案本身，唔好只抄低大意）；原始檔名同被改後嘅完整檔名（包括副檔名）；一個唔敏感嘅加密檔案樣本；發現時間、邊啲資料夾受影響、勒索要求內容；系統日誌、防毒報告如果有嘅話。仲有兩句私隱警告一定要講：只有在你明白並接受分享風險嘅前提下，先好將字條或者加密樣本上載去信譽良好嘅辨認服務，唔好上載敏感檔案；保存證據之前唔好抹機——抹機可能洗走日後辨認同評估需要嘅線索。

第五節：呢刻唔好做嘅五件事

第一，唔好批量改返名。原因見第三節：改名唔會解密，而且批量改名會破壞原檔樣本，令日後辨認更難。原檔唔好郁，複製一份先再諗點驗證。

第二，唔好覆蓋原檔。唔好將新檔案存入同一個名、唔好將解密工具嘅輸出寫返入原檔、唔好喺原機上「試下覆蓋會唔會好返」。任何寫入動作之前，先做副本。

第三，唔好喺原機亂下載來歷不明嘅「解密器」。尤其係聲稱「萬能」「一鍵」「包解密」嘅工具。只用辨認結果配對嘅官方工具，而且要喺副本上試，唔好喺正本上試。

第四，唔好即刻覆勒索信。覆信等於同攻擊者建立聯絡，之後嘅每一步都會被時間壓力推住走。先保留證據、做辨認、尋求專業評估，唔好喺驚同趕時間之下做決定。

第五，唔好因為限時壓力即刻俾錢。勒索信成日寫限時加價、公開資料，目的就係推你喺未諗清楚之前付款。但公開資料指出，付款唔保證檔案可以恢復，亦唔保證唔會再被入侵、資料唔會被外洩；即使解密到，資料外洩風險仍然存在——加密同外洩係兩回事，俾錢解密唔等於外洩資料會被刪除。呢點同《雙重勒索》嗰篇有關，但嗰篇講嘅係雙重勒索全解，呢篇只係借呢點講「點解唔好被時間壓力推住做決定」。

一句分流提示：即刻要做嘅隔離動作（斷網、拔除外置硬碟、檢查同一網絡其他電腦同共享資料夾有冇同樣症狀），完整流程見《第一小時應對》；呢篇嘅重點係「點樣讀懂個新名」，唔係應對流程，唔好撈埋。

第六節：下一步三條分流路——唔寫步驟，只寫方向

第一條路：有乾淨備份。「乾淨」嘅意思係事發之前、未受感染嘅離線備份——長期插住嘅 USB 備份唔算離線，因為只要系統仲認到，勒索軟件就可以將佢當成另一個磁碟一齊加密；雲端同步資料夾亦唔等於備份，因為本機檔案被加密後自動同步上雲，雲端副本都可能被覆蓋。呢條路嘅重點唔係還原步驟（見《備份還原》），而係「點樣確認你嗰份備份真係乾淨」——備份完成時間係咪喺事發之前？備份碟事發嗰陣係咪已經拔走？呢兩個問題答唔到，就唔好當自己有乾淨備份。

第二條路：辨認到有可信免費解密方法。即係第四節嘅辨認流程行得通，而且配對到官方工具。呢條路嘅限制要講明：工具只覆蓋部分家族，新變種可能未有工具；用之前先做副本，唔好喺正本上試。

第三條路：兩樣都冇。冇乾淨備份、辨認唔到或者冇配對工具，呢個時候最重要嘅做法，係保留加密檔案同字條，日後有新工具時再試——呢個係目前最穩妥、唔會進一步破壞嘅做法。執法行動繳獲密鑰後釋出工具，係日後先出現嘅可能，唔可以當成即刻嘅希望。同時要處理嘅另一面係資料外洩風險：如果涉及客戶個人資料，應該諮詢專業意見——法律責任呢部分超出呢篇技術文章範圍，呢篇唔會寫法律建議，只寫呢句提醒。

三條路都要講同一句「冇保證」：俾錢唔保證攞得返，免費工具唔保證啱你嗰隻，備份還原亦要視乎備份係咪真係乾淨。呢篇唔會留一個希望式尾巴，因為希望式尾巴本身就係誤導。最誠實嘅結論係：而家仲有啲咩可以保住（證據、副本、辨認），先做嗰啲；之後點防（離線備份、權限分開、唔好亂開附件），係另一篇嘅事，呢篇唔會喺度長篇大論。

香港背景補一句：香港警務處網絡安全及科技罪案調查科確實存在，並設有 CyberDefender 平台；警方《網絡安全報告 2025》指出，2025 年警方錄得嘅勒索軟件案件有 43 宗——呢個係警方錄得數，唔等於全港實際發生數，好多個案可能冇報案，唔好將 43 宗講成「香港一年只有 43 宗勒索軟件」。報案嘅具體表格同流程，呢篇唔會自創，應該向警方或者專業人員查詢。

常見問題

Q1：我將副檔名改返原本嘅 .docx 或者 .jpg，點解都係開唔到？係咪我改錯咗？
A：唔係你改錯咗，而係改名本身就救唔返。勒索軟件用非對稱密碼學加密內容，私鑰由攻擊者持有；改返副檔名只係改個名，入面內容依然係加密後嘅亂碼。唯一例外係極少數舊變種只改名而冇真加密，但呢個例外唔可以自己亂試——亂改、批量改名會破壞日後辨認需要嘅樣本。正確做法係原檔唔好郁，留返俾辨認同評估用。

Q2：淨係睇副檔名，係咪就知自己中咗邊隻勒索病毒？有冇免費解密工具啱我用？
A：唔係。好多家族用隨機字串做副檔名，幾十個家族可以共用同一種模式，單憑副檔名誤認率好高。辨認要四樣一齊睇：副檔名、勒索信檔名同內容、一個唔敏感嘅加密樣本檔、聯絡方法或者受害者編號。而且辨認工具近年準確度已不如以往，可能誤認或者認唔出；就算認得出，免費工具都只覆蓋部分家族，唔係全部。

Q3：得一個資料夾啲檔改晒名，其他資料夾睇落冇事，係咪代表其他檔案安全？定係要再檢查？
A：要再檢查。一個資料夾出事，唔代表其他資料夾安全——勒索軟件會掃描本機同網絡儲存裝置，針對重要檔案加密；同一網絡其他電腦、共享資料夾、NAS、長期插住嘅 USB 備份，全部都要檢查有冇同樣症狀。呢度只係一個診斷問題，網絡擴散嘅完整講法見《經網絡同 NAS 擴散》。

Q4：勒索信話限時內唔俾錢就會加價、公開資料，係咪真？我要唔要即刻覆佢？
A：限時加價同公開威脅，多數係施壓語言，目的係推你喺未諗清楚之前付款或者覆信。唔好即刻覆信，唔好因為限時壓力即刻俾錢。付款唔保證檔案恢復，唔保證唔會再被入侵，唔保證資料唔會被外洩；即使解密到，外洩風險仍然存在。先保留證據、做辨認、尋求專業評估。

Q5：俾錢之前或者試免費解密工具之前，我要留低啲咩？勒索信同改咗名嘅檔案可唔可以刪？
A：唔可以刪。留低：勒索字條原文（檔案本身，唔好只抄低大意）；原始檔名同被改後嘅完整檔名；一個唔敏感嘅加密檔案樣本；發現時間、邊啲資料夾受影響、勒索要求內容。任何解密嘗試之前，先為加密檔案同字條做副本，唔好喺正本上試；唔好上載敏感檔案去任何辨認服務；保存證據之前唔好抹機。

搵 CentralComputer 幫手

檔案名突然多咗一截、全部開唔到，分唔清係加密定普通損壞，或者唔知點樣保留證據同辨認變種？歡迎搵我哋檢測評估。收費一律檢測後報價，唔會未睇過部機就開價。

電話：+(852) 2115 9219　|　WhatsApp：+(852) 6558 6806
地址：香港九龍觀塘開源道 55 號開聯工業中心 A 座 712 室
營業時間：星期一至六 10:00–19:00