Linux 服务器卡顿并怀疑 babyk：业务数据先保住什么、什么时候送检

先给结论：Linux 服务器出现卡顿、同时你怀疑是 babyk 时，眼下能保住的是原盘当前状态和已有备份。数据是否被破坏、被加密，还能不能恢复，都要等专业检测后才能判断。下一步先确认有没有可用备份：有备份，可以把业务切到备份环境，原盘保持现状；没有可用备份，就按先副本、再停写、后评估的顺序处理。一旦出现停止信号，直接停止通电并安排送检评估。

技王数据恢复

目前能确定的只有现象本身：用户报告 Linux 服务器突然卡顿，并怀疑中了 babyk。卡顿是否由恶意软件引起，服务器上是否真的存在 babyk 或其他恶意程序，数据是被破坏、被加密还是仍然完整，硬盘、阵列、接口和系统状态是否正常，都还没有检测结果支持。因此不建议围绕 babyk 这个名称做专属操作，也不建议按病毒名称搜索并执行清除、修复或解密流程。

技王数据恢复

处理顺序：先副本、再停写、后评估

1. 先找现有副本或备份。检查近期备份、快照、异地副本或业务侧导出文件。备份是否可用，要看备份时间点是否在问题出现之前、文件能否正常打开读取。有可用备份时先保留副本，业务可优先在备份环境恢复，不要为了验证而继续写原盘。
2. 没有可用副本时，停止对原盘的写入。暂停会持续写入的业务、日志、缓存和同步任务，让原盘状态不再继续变化。
3. 后评估。由专业数据恢复方在只读副本或稳定环境下判断数据状态和文件系统情况，再决定后续处理方式。

执行以上顺序前，先对照下一节的停止信号：只要命中其中任何一条，就转入停止分支，不再执行需要通电的换线、换接口、换电脑或扫描动作。 技王数据恢复

出现这些信号就停手

• 异响：设备发出异常声音时，停止通电操作，安排送检评估。
• 反复掉盘：设备频繁掉线、无法稳定识别时，停止通电操作，安排送检评估。
• 容量异常：容量显示明显异常或分区状态异常时，停止通电操作，不要格式化或重建分区。
• 状态不稳定：设备已经无法稳定保持连接时，不要为了再试一次而反复上电。

拿到检测结论前不要做的事

在拿到检测结论之前，不建议在原盘上运行专杀工具、解密脚本或系统修复命令，也不要格式化、重装系统或重建阵列，这些操作都不利于保留原盘当前状态。文件图标显示正常不等于数据安全，文件打不开时也不要反复复制粘贴试探。 www.sosit.com.cn

什么条件下需要送检

需要安排送检评估的情况是：出现上一节列出的停止信号；或者没有可用备份、而业务数据重要；又或者需要只读副本和进一步检测来判断数据状态。已有可用备份、能在备用环境中确认备份完整、业务可以先恢复时，可以暂不送检，先把业务跑起来，原盘保持现状留待后续判断。 www.sosit.com.cn

服务信息

技王数据恢复实验室（Jiwang Data Recovery Lab）提供技术咨询、到店送修和全国快递寄修。杭州可到店，地址为杭州市西湖区教工路23号百脑汇科技大厦13楼1322-1323室。联系电话 18857148111，营业时间周一至周日 09:00–18:00，法定节假日正常营业。全部业务支持顺丰往返包邮，包括检测后不修、无法恢复的订单及保价费；寄件与收件安排需联系技术咨询确认。包邮不等于检测或维修免费，具体费用以咨询时确认的信息为准。

www.sosit.com.cn

技术审核：邓严军｜技王数据恢复实验室技术总监 www.sosit.com.cn