我先怎么判断
遇到“如何检查电脑有没有可疑加密前兆”这类情况，我不会先下结论说一定中毒。广告组件、浏览器设置、驱动异常和恶意程序有时会出现相似表现。我会先暂停可疑操作，记录异常，再按文件异常加密、共享目录和勒索风险这条线排查。
如果电脑里保存过网银、邮箱、社交账号或工作资料，先不要在这台疑似异常的电脑上继续登录重要账号。需要改密码时，我会优先使用另一台干净设备，并打开多因素验证。
常见表现
- 大量文件突然打不开、扩展名被统一修改或出现勒索提示
- 共享目录、移动硬盘或同步盘里的文件同时发生变化
- 磁盘长时间满载，文件被连续重命名或写入
- 安全软件、备份软件或系统还原功能异常
我会先检查这些地方
- 先确认是否还有文件持续变化，不要继续操作原目录
- 检查电脑、共享盘、移动硬盘和网盘同步是否互相传播
- 保留勒索提示、文件扩展名、时间线和安全软件记录
- 确认有没有离线备份、版本历史或云端回收站
处理顺序
- 立即断开网络、共享盘和移动存储，隔离受影响设备
- 不要批量重命名、格式化或覆盖原始文件
- 保留少量样本和提示信息，记录发生时间和设备范围
- 从干净设备修改账号密码，检查共享和远程访问权限
- 优先使用可信备份、版本历史或专业恢复流程
- 清理入口并确认环境安全后，再恢复资料和重建系统
清理后怎么复核
- 确认所有终端、共享目录和同步任务都已经隔离或扫描
- 确认备份不是与主机长期联网可写的同一份副本
- 检查远程访问、账号、权限和计划任务
- 先恢复少量文件观察，再逐步恢复全部业务资料
我不建议这样做
- 不要为了试试看而反复重启或继续打开共享目录
- 不要删除勒索提示、日志和原始文件
- 不要相信要求先付款或安装陌生解密工具的页面
- 不要把唯一备份接回尚未确认干净的电脑
我的经验
勒索风险的第一目标是止住继续写入和扩散，恢复数据要排在隔离、取证和确认备份之后。
参考资料
下面列的是厂商或机构资料入口，实际操作时只从可信域名下载工具。