1. 认识勒索病毒演化时间轴2013 CryptoLocker 首次把“公钥＋比特币”商业模式跑通；2015 TeslaCrypt 把游戏存档列为重点目标；2016 Locky 大规模邮件钓鱼，90 天感染 30 多国；2017 WannaCry利用 NSA EternalBlue，24 小时感染 20 万台；2018 GandCrab 出现“勒索即服务（RaaS）”，分成最高 80%；2019 Sodinokibi 标配双重勒索（加密＋威胁公开数据）；2020‑2024 BlackCat、LockBit 3.0、Cl0p 针对 VPN、VMware ESXi 与供应链发力。盈利模式被加密资产价值 × 客户无法忍受的停机时间 × 支付渠道匿名度传播渠道邮件钓鱼 46%弱口令暴破 31%已知漏洞利用 17%移动介质 4%其它 2%运行模式截止到发帖的当下，常见的绝大多数勒索病毒需要落地执行才开始加密。从入侵到大范围加密往往有数分钟到数小时窗口期，抓住它就能止损。2. 自检：我的设备被感染了吗流程图[正常] → (异常告警 / 性能突增) → 判断文件后缀是否改变└─ 未改变 → 感染未加密 → 立即止血└─