勒索软件分析（加密识别 / 勒索信 / 解密恢复）

何时使用 / 何时不用

• 用：受害者文件被加密（扩展名变化、文件头损坏、熵升高）、出现勒索信（README/DECRYPT）的样本
• 用：需要判断"能不能恢复"并给出解密恢复路线（密钥提取 → 解密脚本 / 社区解密工具）
• 用：勒索样本的加密算法、密钥管理、C2 交互还原
• 不用：样本还没确认是勒索（先 [[re-triage]] 初勘 + [[re-behavior]] 行为确认）
• 不用：只分析加密算法本身（直接走 [[re-crypto-id]] / [[re-crypto-keys]]）
• 注意：运行样本 = 会真实加密文件，必须在沙箱快照内（[[re-sandbox]] 强制前置，[[re-analyze/platform-tips]] 最高原则）；静态分析可免沙箱

工具准备

所有工具先验证再使用。加密三件套与沙箱的完整装法见各技能，本技能直接复用；本技能独有的是文件系统快照工具（防样本加密破坏分析环境，坑 1）。

加密分析三件套（复用 crypto 域）