勒索軟件中招之後，免費解密工具點用先安全：識別變種、認假解密器、冇工具嗰陣點算

中咗勒索軟件之後，除咗「畀唔畀贖金」之外，第二個最易令人行錯路嘅問題就係：「網上有冇免費工具可以解返？」答案係：有，但只限某啲變種；而且網上扮解密工具嘅惡意程式，數量隨時多過真工具。亂下載、亂試，隨時令原本仲有機會救嘅檔案徹底報銷，仲可能再中多次招。呢篇講嘅順序好重要：先識別變種，後搵工具；搵唔到工具，唔好亂試；冇工具嗰陣，另有正確做法。

先講明定位：呢篇假設你已經做完首 1 小時嘅止血步驟（斷網、拔走外置儲存、停手唔好再開檔案、留低勒索訊息證據）。如果你未做，應該先睇《中咗勒索軟件後首 1 小時》，跟時間線做完先再諗解密。今篇只講「止血之後，點樣安全地查解密可能性」。

一、第一步永遠係識別變種，唔係下載工具

每一隻勒索軟件用嘅加密方法都唔同，解密工具亦只對應特定變種，有時甚至只對應某個版本。用錯工具，輕則解唔開，重則破壞檔案結構，令之後就算搵到正確工具都解唔返。所以第一步唔係搜尋「解密工具」，而係搞清楚自己中咗邊隻。

最可靠嘅識別方法，係用兩個官方識別服務（來源：comparitech.com、infosecinstitute.com、2-spyware.com）：

1. No More Ransom 嘅 Crypto Sheriff：呢個係由荷蘭警方國家高科技罪案組、歐洲刑警組織歐洲網絡罪案中心同防毒廠商（包括 Kaspersky、McAfee）合作嘅非牟利計劃。你可以上載勒索訊息同一個已加密嘅檔案樣本，系統會分析檔案結構同已知特徵，話你知係邊隻變種，同埋有冇對應嘅免費解密工具。（來源：comparitech.com、assistouest.fr）

2. ID Ransomware：同樣係上載已加密檔案樣本或者勒索訊息去識別變種嘅服務。佢會用樣本去對已知變種資料庫，畀你一個識別結果。（來源：infosecinstitute.com）

有兩個重點要記住。第一，上載樣本嗰陣，揀一個唔敏感嘅檔案，例如一張普通圖片或者一份冇私人資料嘅文件，唔好將載有身份證、銀行資料、公司機密嘅檔案上載去任何識別服務。第二，齋睇副檔名係唔夠嘅：好多變種會用相似甚至相同嘅副檔名，識別服務有時會畀多過一個可能結果，唔會百分百肯定。結果只係方向，唔係診斷書。（來源：infosecinstitute.com）

仲有一點好多人忽略：勒索訊息本身都係證據，唔好刪。訊息入面嘅聯絡方式、付款指示、聲稱嘅變種名，全部都有助識別同之後報案。影低全版，存喺另一部乾淨裝置，唔好存返入受感染嗰部機。

二、真解密工具嘅三個特徵

識別到變種之後，如果有對應工具，佢應該符合以下三個特徵，缺一都要懷疑：

特徵一：免費。正規解密工具係免費嘅。No More Ransom 收錄嘅工具全部免費，由執法部門同防毒廠商提供，目的就係等受害者唔使畀贖金。如果有個所謂「解密工具」要你先畀錢、先買會員、先畀「手續費」先用到，嗰個已經唔係正規工具，極可能係騙局。（來源：2-spyware.com）

特徵二：嚟自官方渠道。正規工具嘅來源只有幾類：No More Ransom 計劃本身、Emsisoft、Kaspersky、Avast、Bitdefender、Trend Micro 等知名防毒廠商嘅官方網站。最穩陣嘅做法係：去 No More Ransom 嘅解密工具清單搵到你嗰隻變種之後，跟佢提供嘅官方連結去下載，唔好經搜尋器廣告、影片簡介欄、論壇附件去下載同名工具。（來源：2-spyware.com、pcrisk.com）

特徵三：有版本限制，會講明。正規工具通常會講明佢對應邊個變種、邊個版本，仲會警告「之後出嘅新版本可能唔適用」。呢種「講明限制」本身就係可信嘅訊號。相反，聲稱「咩變種都解得」嘅工具，幾乎一定係假嘅——因為唔同變種嘅加密根本唔同，冇一個工具可以通解晒。

仲有一個執行上嘅鐵律：解密之前，先將已加密檔案另外備份一份，解密只喺副本上面試。萬一工具用錯版本或者中途出錯，原檔仲喺度，仲有得返轉頭。直接喺原檔上面試，試衰咗就冇得救。下載工具嗰部機亦必須係乾淨嘅機，唔好喺受感染嗰部機上面直接下載——受感染嘅機可能仲有惡意程式喺度，會干擾解密過程，甚至將新下載嘅工具都感染埋。（來源：pcrisk.com）

三、假解密器嘅六個紅旗

假解密器通常扮得好似樣，網站做得好專業，仲會話「已有幾萬人成功解密」。認佢哋，睇以下六個紅旗，中一個就要停手：

1. 要錢先用到。上面講過，正規工具免費。任何「先付款先解鎖」、「買 Pro 版先解晒全部檔案」嘅講法，都係騙局。

2. 叫你熄防毒、畀管理員權限、保持上網。正規解密工具唔需要你熄防毒先行得。叫你熄防毒，目的通常係等佢入面嘅惡意程式可以暢通無阻咁跑。

3. 聲稱「萬能解密」、「所有勒索軟件都解得」。上面講過，唔同變種加密唔同，冇萬能工具。呢句說話本身就係假嘅證據。

4. 來源係影片簡介、社交媒體私訊、論壇附件。正規工具唔會靠呢啲渠道派發。經呢啲渠道下載嘅「同名工具」，好大機會係改過名嘅惡意程式。

5. 用倒數、限時優惠嚟催你。「24 小時內唔用就永久鎖死」、「今日特價解密」呢類催促，同勒索訊息本身嘅恐嚇手法係同一套。真正嘅工具唔使催你。

6. 叫你經 Telegram、WhatsApp 聯絡「客服」攞金鑰。正規工具唔需要你私下聯絡任何人攞金鑰。叫你私下聯絡嘅，目的通常係再呃多一次錢，或者套取你嘅資料。

記住一個原則：你而家面對嘅已經係一班靠呃人維生嘅罪犯，佢哋絕對會再扮「救你嘅人」呃多次。中招之後嗰幾日，係你最易再受騙嘅時候，因為你最急。急，恰恰就係騙局最鍾意嘅狀態。

四、點解好多變種根本冇免費工具

好多人聽到「冇工具」會覺得難以接受，但呢個係正常現象，唔係你搵得唔夠努力。原因有三個：

第一，現代加密本身冇破綻。如果一隻變種用嘅加密方法正確、隨機產生金鑰、而且金鑰冇外洩，咁喺數學上就係解唔開，唔係「未搵到方法」，而係「根本冇方法」。免費工具存在嘅情況，通常係因為：某隻變種早期版本有程式錯誤、執法部門查封行動中取得金鑰、或者攻擊者自己洩漏咗金鑰。呢啲都係例外，唔係常態。（來源：webasha.com）

第二，工具只對應舊版本。就算某隻變種以前有工具，攻擊者之後出新版本修補咗漏洞，舊工具就對新版本無效。所以「舊年有人解到」唔等於「你而家呢個版本解到」，一定要按你識別到嘅具體變種同版本去查當下嘅清單。（來源：2-spyware.com）

第三，影子副本（Shadow Copies）多數已經被刪。好多人會諗：「Windows 本身有冇留低舊版本？」理論上有，但勒索軟件通常會第一時間刪除影子副本同還原點。可以用管理員身份開命令提示字元打 vssadmin list shadows 睇下有冇殘留，但期望要放低：有殘留係好彩，冇殘留係正常。（來源：pcrisk.com）

所以「查唔到工具」唔係失敗，而係一個答案。接受呢個答案，先至可以行下一步正確嘅路，而唔係喺假工具上面浪費時間同冒險。

五、冇工具嗰陣，正確做法係咩

如果識別完之後，確認冇對應免費工具，應該按以下順序做：

1. 保留已加密檔案，離線存放。唔好因為「解唔到」就刪除佢哋。歷史上有唔少例子：某隻變種幾個月甚至幾年之後，因為執法行動或者金鑰洩漏，先至出現免費工具。檔案留喺度，之後先有機會；刪咗，就永遠冇機會。存放要離線（例如外置硬碟拔走存放），唔好長期插住部機。

2. 用乾淨備份還原，但要驗證備份係乾淨嘅。還原之前要確認兩件事：備份嘅日期係加密發生之前，同埋備份本身未受感染。還原嗰陣要先清除受感染部機嘅惡意程式（最好係用乾淨安裝媒體重裝系統），唔好喺仲有惡意程式嘅系統上面直接還原，否則還原完會再被加密。（來源：webasha.com）

3. 報案同通報。向香港警方報案，並可向 HKCERT 通報事件。報案唔係為咗即刻攞返檔案，而係等執法部門掌握變種流行情況，萬一之後有相關金鑰或者工具，受害者先至有機會受惠。報案嗰陣帶埋之前留低嘅勒索訊息截圖同時間線。

4. 處理「雙重勒索」嘅另一半。而家好多勒索軟件唔止加密，仲會先偷走一份資料，再威脅公開。呢種叫「雙重勒索」。備份只解決加密嗰一半，解決唔到資料外洩嗰一半。如果懷疑有資料被偷，要另外評估：邊啲資料可能外洩、使唔使通知受影響嘅客戶或者合作夥伴、密碼使唔使喺乾淨裝置上面全部更換。呢部分唔好自己估，應該搵專業支援同法律意見一齊處理。（來源：webasha.com、infosec.gov.hk）

最後，關於畀贖金，香港政府資訊安全網站嘅立場好清楚：不建議畀贖金，因為冇保證可以成功取回加密資料、被盜資料會如承諾銷毀、系統會解鎖、或者將來唔會再受攻擊。（來源：infosec.gov.hk）畀錢買返嚟嘅，最多只係一個「可能」，而且仲可能令你成為下一次嘅目標。

FAQ

Q1：No More Ransom 查唔到我嗰隻變種，係咪即係冇希望？
唔係。查唔到可以有幾個意思：變種太新、資料庫未收錄、或者樣本唔夠準確。先確認自己上載嘅係正確嘅勒索訊息同非敏感加密樣本，再試 ID Ransomware 交叉確認。如果兩個都話冇工具，就按上面「冇工具」嘅做法：保留檔案、乾淨還原、報案。

Q2：解密工具話要我提供「原始檔案」同「加密檔案」各一份，正常嗎？
正常。有啲工具需要一對「加密前後」嘅檔案樣本去推算，呢個係正規做法。但提供嘅原始檔案必須係你肯定乾淨、而且唔敏感嘅檔案，唔好用載有私人資料嘅檔案做樣本。

Q3：YouTube 有人示範用某個工具成功解密，可唔可以跟住做？
唔好直接跟。影片入面嘅工具名可以係真，但簡介欄嘅下載連結可以係假；就算連結係真，佢示範嘅變種版本都未必同你嗰個一樣。正確做法永遠係：先識別自己嘅變種，再經 No More Ransom 官方清單搵對應工具，唔好經影片連結下載。

Q4：畀咗贖金，攻擊者會唔會真係刪除偷走咗嘅資料？
冇保證。香港政府資訊安全網站已經講明，畀贖金冇保證被盜資料會如承諾銷毀。對方係罪犯，冇任何機制可以迫佢守承諾。所以就算考慮過畀錢，都唔好當資料外洩問題已經解決。

Q5：備份還原之後，點樣先知部機乾淨晒？
最穩陣係用乾淨安裝媒體重裝系統，再喺乾淨系統上面還原已驗證嘅備份，之後做一次全面掃描。唔好喺舊系統上面「掃完毒就當乾淨」，因為有啲惡意程式會匿埋，掃描未必搵到。唔肯定嘅話，拎嚟做檢測先至最穩陣。

總結一句：免費解密工具係真實存在嘅希望，但只屬於某啲變種、某啲版本，而且只可以經官方渠道攞。順序永遠係：先識別變種 → 經官方清單查工具 → 喺副本上面試 → 冇工具就保留檔案、乾淨還原、報案。跳過識別、經不明渠道下載、喺原檔上面亂試，呢三樣就係假解密器陷阱嘅入口。如果你已經中招，或者唔肯定自己嗰隻變種有冇工具，歡迎拎嚟 CentralComputer 中環電腦做免費初步判斷：電話 +(852) 2115 9219，WhatsApp +(852) 6558 6806。收費政策好簡單：檢測後報價，確認先開工，唔會亂收費。