被勒索病毒加密了文件，国外掏钱之前先做一件事——去No More Ransom上搜一下你的勒索病毒家族名。这个由欧洲刑警组织、病毒荷兰警方、解密卡巴斯基和McAfee在2016年联合搞起来的网站项目，到今天已经积累了超过150种解密工具，国外覆盖了GandCrab、勒索Shade、病毒FilesLocker等一大批曾经猖獗的解密家族。说白了，网站它就是国外个"赎金别付，先来这儿看看"的勒索公益平台。
很多人不知道这个网站的病毒存在。中了招，解密桌面弹出个红框倒计时，网站脑子一热就想去买比特币。我见过一个做外贸的朋友，服务器被Phobos加密，对方开价0.05个比特币。他差点就转了，后来在技术群里被人甩了个链接——No More Ransom上恰好有针对Phobos早期变种的解密器。虽然他的版本偏新没救回来，但至少知道了这条路走不通，省下了一笔冤枉钱。
这些网站到底靠什么运作
解密工具的来源主要有两个。一是执法机构捣毁勒索团伙的服务器时缴获了密钥，比如GandRrab那次，FBI和欧洲刑警组织端了对方的C2基础设施，直接拿到私钥做出解密器。二是安全研究人员通过逆向工程发现了加密算法的漏洞——有些勒索软件写得烂，密钥生成有规律可循，或者加密流程存在缺陷，不用密钥也能还原文件。
No More Ransom不是唯一的。ID Ransomware这个网站更偏鉴定方向，你上传一个被加密的文件样本或者勒索信截图，它能帮你识别是哪个家族，然后告诉你有没有对应的解密工具。Emsisoft的Decryptor页面也值得收藏，他们家的工具更新很勤快，Stop/Djvu这类变种极多的家族，Emsisoft经常能跟上节奏。
现实没那么美好
得泼盆冷水。能解密的始终是少数。大部分活跃的勒索软件用的是成熟加密方案，AES-256加上RSA-2048，没有密钥就是解不开。No More Ransom上那些工具，针对的多是已经停止更新或者被执法打击过的老家族。新出的、还在活跃的，比如LockBit、BlackCat、Royal这些，基本别指望。
还有个坑：有些解密工具只适用于特定变种。同一个家族，版本号差一点，工具就跑不起来。Stop/Djvu就是典型，它的变种数量多到离谱，Emsisoft的解密器只覆盖了一部分离线密钥的版本，联网密钥的照样没辙。你下载工具之前，一定看清楚适用的变种列表和文件扩展名。
怎么用才不白费功夫
中招之后，第一件事是断网，防止横向感染。然后保留加密文件和勒索信，别急着重装系统。用另一台干净的机器去ID Ransomware上传样本，确认家族。拿到家族名之后，去No More Ransom和Emsisoft的页面搜，看有没有匹配的工具。有的话，严格按照说明操作，先备份加密文件再跑解密器——有些工具会直接修改原文件，万一中途出错，连加密状态都保不住。
没有工具怎么办？把样本上传到VirusTotal，看看有没有安全厂商标注了更多信息。有时候论坛里会有零星的讨论，比如BleepingComputer的勒索软件专区，偶尔有人分享自己摸索出来的偏方。但说实话，大部分时候你能做的只有等——等执法机构哪天端了那个团伙，或者等研究人员找到漏洞。
最后说一句：解密网站是补救手段，不是保险。真正管用的还是离线备份，3-2-1原则，别把鸡蛋放一个篮子里。我自己的NAS就做了快照，每周同步一次到移动硬盘，硬盘平时不插电。麻烦是麻烦了点，但比对着加密文件发呆强。