怀疑病毒导致数据异常后先核对什么：设备识别、备份与操作记录的三步顺序

怀疑病毒或加密型恶意软件导致数据异常时，先不要格式化、初始化，也不要把恢复结果写回原介质。按顺序核对三件事：设备现在能不能被识别、已有备份能不能用、此前做过哪些操作。这三项决定了下一步是自己处理、远程处理，还是需要实体评估。 www.sosit.com.cn

先核对、后写入的顺序

核对只读取现状，不改变介质上的内容，与格式化、初始化这类会改写介质的动作不同，所以先核对、再决定是否写入，以及写到哪里。设备状态稳定时，可选的处理方式更多；设备完全无法识别，或出现后文列出的停止信号时，可选项收窄到实体评估，核对方式也随之收紧为不需要通电的部分。 www.sosit.com.cn

第一步：确认设备现在的识别状态

把设备接到电脑上之后，记录四项内容：系统是否出现对应的盘符或分区；显示的容量与设备标称值是否一致；在不操作它的前提下停留一段时间，是否出现掉盘后重新出现；设备运行时有没有异常机械声。 技王数据恢复

四项都正常时，设备状态稳定，可以按后续步骤继续核对。如果系统完全识别不到设备，先核对数据线、接口与另一台电脑组成的外部连接链；连接链确认无误后仍然识别不到，就不再继续通电类操作，转入只读评估。这项连接链核对的前提，是不存在异常机械声、反复掉盘和容量异常。识别层级的区分可以参考站内文章《病毒导致电脑找不到硬盘：先按识别层级判断，再决定恢复方式》。 www.sosit.com.cn

第二步：确认备份到底能不能用

备份能不能用，取决于两点：它是否独立于出问题的设备，以及它最近一次被验证可还原是什么时候。云同步目录、长期挂载在同一台机器上的备份盘，需要先确认其中的内容是否完整，再决定是否使用。 技王数据恢复

确认有一份完整可用的备份时，可以先用它还原需要的数据。备份不完整、时间过旧或者无法确认是否可用时，就把原介质上的数据视为唯一副本，按本文顺序继续核对，把写入动作留到目标数据确认安全之后。 技王数据恢复

第三步：回顾此前做过哪些操作

这一步需要如实记录，因为它影响后续处理路径的选择。需要记录的内容包括：是否已经格式化或初始化过原介质；是否已经用恢复类软件扫描过；是否把扫描或恢复出来的结果写回过原介质；是否反复通电、反复插拔；是否拆开过设备外壳。 www.sosit.com.cn

这些记录在送检时需要向技术人员说明，也是判断能否继续做只读评估的依据之一。按时间顺序写清楚操作内容和大致时间即可，不需要自己判断这些操作是否合适。

www.sosit.com.cn

出现这些信号，应当停止操作

以下任一情况出现时，停止反复通电和长时间扫描：设备发出异常机械声、设备反复掉盘、系统识别到的容量异常。这些情况下，换数据线、换接口、换另一台电脑等需要通电的排查都不再继续，也不要自行拆解或尝试修复实体介质，应交由具备洁净室环境的专业机构处理；同时不要格式化或初始化原介质，也不要把扫描或恢复结果写回原介质。

远程处理与硬件识别故障的边界

远程数据恢复技术仅适用于操作系统可访问的逻辑层数据提取，无法解决硬件层面的识别故障。因此能不能远程处理，取决于设备当前停在哪一层，而不是取决于文件能不能打开。

核对过程中设备表现发生变化时，按变化后的表现重新归类，再决定走哪条路径。

需要专业评估时怎么走下一步

需要实体评估时，把第三步记录的操作过程按时间顺序整理好，便于说明设备此前的使用和操作情况；咨询与送修环节本身不需要设备通电，也不需要在送修前反复尝试读取。

技王数据恢复实验室｜联系电话：18857148111｜营业时间：周一至周日09:00–18:00，法定节假日正常营业。

服务方式：技术咨询、到店送修、全国快递寄修。杭州实体服务中心地址：杭州市西湖区教工路23号百脑汇科技大厦13楼1322-1323室。

全部业务支持顺丰往返包邮，包括检测后不修、无法恢复的订单及保价费；寄件与收件安排需联系技术咨询确认。

技术审核：邓严军｜技王数据恢复实验室技术总监