แรนซัมแวร์หรือการลบจำนวนมากโดยไม่ตั้งใจบน Google Drive, OneDrive หรือ Dropbox การซิงค์ไฟล์ที่เสียหายไปยังอุปกรณ์ทั้งหมด (ประวัติเวอร์ชัน 30 วันและการกรอกลับห้องนิรภัย)¶

การดูไอคอนซิงค์ในแถบงาน Windows หรือแถบเมนู macOS ของคุณหมุนอย่างรวดเร็วพร้อมกับเอกสารทางธุรกิจ บันทึกภาษี รูปถ่ายครอบครัว และไฟล์ซอร์สโค้ดภายในหลายพันรายการ Google Drive for Desktop, Microsoft OneDrive, Dropboxหรือ iCloud Drive ถูกเข้ารหัสโดยแรนซัมแวร์ (.locked, .bianlian, .akira, .play, .lockbit) หรือถูกลบออกโดยการกำหนดค่าไม่ถูกต้อง rsync --deleteการลากและวางโฟลเดอร์โดยไม่ตั้งใจ หรือสคริปต์โกงถือเป็นหายนะของข้อมูลความเร็วสูง เนื่องจากไคลเอนต์การซิงค์เดสก์ท็อปบนคลาวด์ได้รับการออกแบบทางวิศวกรรมสำหรับการจำลองแบบสองทิศทางแบบเรียลไทม์ (inotify บนลินุกซ์ FSEvents บน macOS และ ReadDirectoryChangesW / Cloud Filter API บน Windows) ไบนารีแรนซัมแวร์หรือโดยไม่ได้ตั้งใจ Shift + Delete บน แล็ปท็อปที่ติดไวรัสเครื่องเดียว จะถูกแพร่กระจายไปยังเซิร์ฟเวอร์คลาวด์ทันทีและกดลงไปที่ เดสก์ท็อป แล็ปท็อป และโฟลเดอร์ทีมที่ใช้ร่วมกันทุกเครื่องที่เชื่อมต่อกับบัญชีนั้น ภายในไม่กี่วินาที

อย่างไรก็ตาม กลไกการซิงค์บนคลาวด์ ไม่ใช่ เขียนทับดิสก์ดิบ: เบื้องหลัง Microsoft OneDrive, Dropbox, Google Driveและ Box รักษาพื้นที่จัดเก็บอ็อบเจ็กต์ฝั่งเซิร์ฟเวอร์ที่ไม่เปลี่ยนรูปด้วย ประวัติเวอร์ชันในช่วงเวลา 30 วันถึง 180 วัน, ถังรีไซเคิลขั้นที่สอง และเครื่องมือการย้อนกลับทั้งบัญชี (OneDrive Restore Your OneDrive และ Dropbox Rewind) ตราบใดที่คุณตัดคอมพิวเตอร์ที่ติดไวรัสออกจากเครือข่ายทันที หยุดการซิงค์บนเครื่องรองชั่วคราวเพื่อเก็บเกี่ยวแคชในเครื่องแบบออฟไลน์ และหลีกเลี่ยงกับดักร้ายแรงของการอัปโหลดไฟล์ที่เข้ารหัสซ้ำเกินโควต้าประวัติเวอร์ชันของคุณ คุณสามารถหมุนไดรฟ์คลาวด์ทั้งหมดของคุณกลับไปเป็นนาทีที่แน่นอนก่อนที่การเข้ารหัสหรือการลบจะเริ่มขึ้นโดยไม่ต้องจ่ายค่าไถ่แม้แต่สตางค์เดียว สำหรับการกักกันมัลแวร์ในเครื่องและการแกะระบบไฟล์ โปรดดูคำแนะนำของเราที่ การตอบสนองของแรนซัมแวร์และมัลแวร์, การลบไฟล์โดยไม่ตั้งใจและการกู้คืนไดรฟ์ที่ฟอร์แมตและ การสำรองข้อมูลคอมพิวเตอร์: กลยุทธ์ 3-2-1 และการกู้คืนความเสียหาย. หากการโจมตีด้วยแรนซัมแวร์โจมตีโรงพยาบาล คลินิก หรือเครือข่ายการรับมือเหตุฉุกเฉิน ให้เปิดใช้งานขั้นตอนการหยุดทำงานทางคลินิกแบบออฟไลน์ทันที และโทรไปยังหมายเลขฉุกเฉินในพื้นที่ของคุณ (911 ในสหรัฐอเมริกาและแคนาดา 112 ทั่วทั้งสหภาพยุโรป 999 ในสหราชอาณาจักร) หรือตรวจสอบไดเรกทอรีของเราของ หมายเลขฉุกเฉิน.

ทำเช่นนี้ตอนนี้¶

1. ถอดปลั๊กสายอีเทอร์เน็ตแล้วปิด Wi-Fi บนคอมพิวเตอร์ต้นทางทันที (ก่อนที่จะปิดแอปหรือคลิกสิ่งใดๆ):
2. เหตุใดการตัดเครือข่ายจึงบันทึก Cloud Vault ของคุณ: ทุก ๆ วินาทีที่คอมพิวเตอร์ที่ติดไวรัสหรือถูกลบยังคงออนไลน์ ไคลเอ็นต์การซิงค์เดสก์ท็อป (OneDrive.exe, GoogleDriveFS.exe, Dropbox.exe) อัปโหลดการดำเนินการไฟล์ที่เข้ารหัสหรือลบอีก 50 ถึง 200 รายการต่อวินาทีไปยัง cloud API การตัด Wi-Fi และอีเทอร์เน็ตจะทำให้คิวการอัพโหลดบนคลาวด์ค้าง
3. เดินไปที่แล็ปท็อป เดสก์ท็อป แท็บเล็ต และโทรศัพท์ทุกเครื่องที่เชื่อมโยงกับบัญชีคลาวด์เดียวกัน และปิด Wi-Fi / อีเธอร์เน็ตก่อนที่จะปลุกหน้าจอ:
4. แล็ปท็อปออฟไลน์ตัวที่สองของคุณคือแคปซูลเวลาอันเก่าแก่: หากเดสก์ท็อปที่บ้านหรือ MacBook ตัวที่สองของคุณหลับอยู่ในกระเป๋าของคุณตั้งแต่เมื่อวาน เครื่องในเครื่องจะอยู่ในเครื่อง OneDrive, Dropboxหรือ Google Drive (Mirror files / Always keep on this device) ยังคงมีสำเนาไฟล์ของคุณที่ไม่ได้เข้ารหัสและไม่มีการแตะต้อง 100 เปอร์เซ็นต์
5. หากคุณปลุกแล็ปท็อปรองเครื่องนั้นในขณะที่เปิด Wi-Fi Cloud sync daemon จะเชื่อมต่อทันที ดาวน์โหลดการลบข้อมูลจำนวนมากหรือข้อความเข้ารหัสแรนซัมแวร์จากเซิร์ฟเวอร์ และทำลายสำเนาในเครื่องดั้งเดิมนั้นภายในเวลาไม่ถึง 60 วินาที ปิดเราเตอร์ Wi-Fi ในบ้านของคุณ (ถอดสายไฟ) ก่อนที่จะปลุกคอมพิวเตอร์เครื่องที่สอง จากนั้นคัดลอกโฟลเดอร์ในเครื่องไปยังไดรฟ์ USB ภายนอกขณะออฟไลน์
6. หากสาเหตุคือ Ransomware ให้ดึงสายไฟ (หรือกดปุ่ม Power ค้างไว้ 10 วินาที) บนพีซีที่ติดไวรัส หากสาเหตุเกิดจากการลบโดยไม่ตั้งใจบน SSD ให้ปล่อยทิ้งไว้และถอนการเชื่อมต่อ/หยุด sync daemon:
7. Ransomware: การดึงพลังจะหยุดเธรดการเข้ารหัส (AES / ChaCha20 ผู้ปฏิบัติงาน) จากการเข้ารหัสโฟลเดอร์ที่ไม่ได้เข้ารหัสที่เหลืออยู่ในไดรฟ์ในเครื่องของคุณและรักษาคีย์ RAM ที่ระเหยได้หากจำเป็นต้องวิเคราะห์หน่วยความจำทางนิติวิทยาศาสตร์
8. การลบโดยไม่ได้ตั้งใจ: ฆ่า OneDrive.exe / Dropbox.exe / GoogleDriveFS.exe ในตัวจัดการงาน (Ctrl + Shift + Esc) หรือ Activity Monitor ทันทีเพื่อให้ไคลเอ็นต์ภายในเครื่องหยุดการเข้าคิว DELETE การเรียก API
9. อย่าลบไฟล์ที่เข้ารหัสแรนซัมแวร์ด้วยตนเอง (.locked) ในอินเทอร์เฟซเว็บระบบคลาวด์หากมัลแวร์เปลี่ยนชื่อนามสกุลไฟล์:
10. ทำความเข้าใจว่าแรนซัมแวร์โต้ตอบกับที่เก็บข้อมูลบนคลาวด์อย่างไร:
    • กรณี A: In-Place Overwrite (ชื่อไฟล์เดียวกัน): มีการเข้ารหัสแรนซัมแวร์ Tax_2025.xlsx และบันทึกเพย์โหลดที่เข้ารหัสไว้ภายใต้ชื่อเดียวกันทุกประการ Tax_2025.xlsx. ที่นี่ บริการคลาวด์จะถือว่าไฟล์ที่เข้ารหัสเป็น เวอร์ชัน 2 ในขณะที่ไฟล์ต้นฉบับที่สะอาดของคุณจะอยู่ใต้อย่างปลอดภัยเป็น เวอร์ชัน 1 ใน Version History.
    • กรณี B: เปลี่ยนชื่อ + ลบต้นฉบับ (Tax_2025.xlsx.lockbit): แรนซัมแวร์สมัยใหม่ส่วนใหญ่อ่านได้ Tax_2025.xlsx, เขียนไฟล์ใหม่ชื่อ Tax_2025.xlsx.lockbitและ ลบ ต้นฉบับ Tax_2025.xlsx. ที่นี่ต้นฉบับที่สะอาดของคุณ Tax_2025.xlsx กำลังนั่งอยู่ภายใน Cloudถังขยะ / ถังรีไซเคิล (และการย้อนกลับบัญชีในช่วงเวลาหนึ่ง)
11. เข้าสู่ระบบเว็บพอร์ทัลระบบคลาวด์ (onedrive.live.com, dropbox.com, drive.google.com, icloud.com) จากอุปกรณ์ที่สะอาดและไม่ติดเชื้อ (เช่น สมาร์ทโฟนที่ใช้ข้อมูลเซลลูลาร์หรือคอมพิวเตอร์ที่แยกออกมา):
12. อย่ากลับเข้าสู่บัญชีคลาวด์ของคุณจากคอมพิวเตอร์ที่ติดไวรัสแรนซัมแวร์ และ เพิกถอนเซสชันอุปกรณ์ OAuth ของคอมพิวเตอร์ที่ติดไวรัส ทันทีภายใต้หน้าการรักษาความปลอดภัยของบัญชี Google, Microsoft หรือ Dropbox ของคุณ เพื่อให้พีซีที่ติดไวรัสไม่สามารถดำเนินการซิงค์ต่อได้หากมีคนเปิดใช้งานอีกครั้ง
13. ใช้การย้อนกลับบัญชีแบบช่วงเวลา (Restore your OneDrive หรือ Dropbox Rewind) แทนที่จะกู้คืน 50,000 ไฟล์ทีละไฟล์:
14. ทั้ง Microsoft OneDrive และ Dropbox มีไทม์แมชชีนอัตโนมัติทั้งบัญชีที่จะม้วนทุกโฟลเดอร์ เวอร์ชันไฟล์ และรายการที่ถูกลบทั่วทั้งไดรฟ์ของคุณกลับไปยังการประทับเวลาที่ระบุ (1 hour ago, Yesterday at 11:00 PMหรือขึ้นไป 30 to 180 days ago) ในการดำเนินการฝั่งเซิร์ฟเวอร์เดียว

แผนผังการตัดสินใจ: การควบคุมความเสียหายจากการซิงค์บนคลาวด์และการกู้คืน ณ เวลาใดเวลาหนึ่ง¶

ดำเนินการเวิร์กโฟลว์ฉุกเฉินนี้เพื่อหยุดการเผยแพร่การซิงค์ข้ามอุปกรณ์และกู้คืนสถานะคลาวด์ที่ปลอดภัยของคุณ:

flowchart TD
    Start["การเข้ารหัสแรนซัมแวร์หรือการลบข้อมูลจำนวนมากโดยไม่ตั้งใจที่ซิงค์ข้ามคลาวด์ไดรฟ์"] --> CutNet["ขั้นตอนที่ 1: ถอดปลั๊กอีเธอร์เน็ต & ปิด Wi-Fi บนคอมพิวเตอร์ต้นทางทันที (หรือถอดปลั๊กสายไฟเราเตอร์ Wi-Fi)"]

    CutNet --> SaveSecondaries["ขั้นตอนที่ 2: ทำให้แล็ปท็อป/พีซีรองทั้งหมดออฟไลน์ (โหมดเครื่องบิน) -> คัดลอกโฟลเดอร์แคช 'OneDrive / Dropbox / Google Drive' ในเครื่องไปยังไดรฟ์ USB ภายนอก"]

    SaveSecondaries --> RevokeSession["ขั้นตอนที่ 3: จากโทรศัพท์/เบราว์เซอร์ที่สะอาด เปิดการรักษาความปลอดภัยของบัญชี (Google / Microsoft / Dropbox) -> เพิกถอน / ยกเลิกการเชื่อมโยงเซสชันการซิงค์เดสก์ท็อปของพีซีที่ติดไวรัส"]

    RevokeSession --> WhichCloud{"แพลตฟอร์ม Cloud Storage ใดที่โดนโจมตี?"}

    WhichCloud -->|"Microsoft OneDrive / SharePoint (ส่วนบุคคลหรือ Microsoft 365)"| OneDriveRestore["ใช้ 'การตั้งค่า -> ตัวเลือก -> กู้คืน OneDrive ของคุณ' (ย้อนกลับการแก้ไข เปลี่ยนชื่อ และการลบทั้งหมดทั่วทั้งบัญชีสูงสุด 30 วัน) + ตรวจสอบถังรีไซเคิลขั้นที่ 1 และ 2"]

    WhichCloud -->|"Dropbox (Plus, Family, Professional, Business หรือ Basic)"| DropboxRestore["ใช้ 'Dropbox Rewind' บนโฟลเดอร์รูท (กรอกลับทั้งบัญชีเป็นนาทีที่แน่นอนก่อนการโจมตี) หรือใช้ 'ไฟล์ที่ถูกลบ' + บันทึก 'เหตุการณ์' (30 ถึง 180 วัน)"]

    WhichCloud -->|"Google ไดรฟ์ (Gmail ส่วนตัวหรือ Google Workspace)"| GDriveRestore["1. จัดเรียง 'ถังขยะ' ตาม 'วันที่ทิ้งขยะ' เพื่อกู้คืนต้นฉบับที่ถูกลบจำนวนมาก 2. สำหรับไฟล์ที่ถูกเขียนทับ: คลิกขวา -> 'ข้อมูลไฟล์ -> จัดการเวอร์ชัน' หรือเรียกใช้สคริปต์ย้อนกลับการแก้ไขจำนวนมากของ Google Drive API v3"]

    WhichCloud -->|"ไดรฟ์ Apple iCloud"| iCloudRestore["เข้าสู่ระบบ 'iCloud.com/recovery' -> คลิก 'กู้คืนไฟล์' (กู้คืนไฟล์ที่ถูกลบภายใน 30 วันที่ผ่านมา แม้ว่าจะว่างเปล่าจากการลบล่าสุดก็ตาม)"]

ระยะที่ 1: วิธีที่กลไกการซิงค์คลาวด์ประมวลผลแรนซัมแวร์เทียบกับการลบจำนวนมาก (ที่ที่ไฟล์ที่ล้างข้อมูลของคุณใช้งานได้จริง)¶

ก่อนที่จะคลิกปุ่มกู้คืนด้วยความตื่นตระหนก ให้ตรวจสอบว่าไฟล์ของคุณมีการเปลี่ยนแปลงอย่างไร** บนเว็บพอร์ทัลระบบคลาวด์ (drive.google.com, onedrive.live.comหรือ dropbox.com). เหตุการณ์การซิงค์บนคลาวด์ทุกครั้งจัดอยู่ในหนึ่งในสามรูปแบบทางเทคนิค:

ระยะที่ 2: การย้อนกลับบนคลาวด์ทีละแพลตฟอร์มและการกู้คืนเวอร์ชันจำนวนมาก¶

ทำตามขั้นตอนการกู้คืนที่แน่นอนสำหรับผู้ให้บริการคลาวด์ของคุณจาก เบราว์เซอร์ที่สะอาดและไม่ติดไวรัส

1. Microsoft OneDrive และ SharePoint ออนไลน์ (Restore Your OneDrive และถังรีไซเคิล 2 ชั้น)¶

Microsoft ออกแบบ OneDrive โดยเฉพาะเพื่อให้รอดจากการเข้ารหัสแรนซัมแวร์และการลบการซิงค์จำนวนมาก:

1. วิธีการ A: การย้อนกลับตามช่วงเวลาทั้งบัญชี (Restore your OneDrive):
2. พร้อมใช้งานบน Microsoft 365 Personal, Family, Business และ Enterprise (SharePoint Online ไลบรารีเอกสาร):
3. เข้าสู่ระบบ onedrive.live.com (หรือเว็บพอร์ทัล Microsoft 365 OneDrive ของคุณ) บนคอมพิวเตอร์เครื่องใหม่
4. คลิก ไอคอนการตั้งค่าเกียร์ (มุมบนขวา) -> เลือก Options -> คลิก Restore your OneDrive ในบานหน้าต่างนำทางด้านซ้าย (บนไซต์ทีม SharePoint ให้คลิก Settings Gear -> Restore this library)
5. ภายใต้ Select a date, เลือก Yesterday (หรือ Custom date and time)
6. ดู แผนภูมิแท่งฮิสโตแกรมกิจกรรม: คุณจะเห็นการเพิ่มขึ้นอย่างมากบนไทม์ไลน์ซึ่งแสดงถึงนาทีที่แน่นอนที่การเข้ารหัสแรนซัมแวร์หรือการลบข้อมูลจำนวนมากเริ่มต้นขึ้น
7. ลากแถบเลื่อนไทม์ไลน์ไปที่ ด้านซ้ายของขัดขวางนั้น (ดังนั้นไฟล์ที่เป็นอันตรายทุกไฟล์จะเปลี่ยนชื่อ เขียนทับ และการลบที่สร้างขึ้นหลังจากนาทีนั้นจะถูกทำเครื่องหมายเพื่อเลิกทำ)
8. คลิก Restore. เซิร์ฟเวอร์ของ Microsoft จะยกเลิกการแก้ไขไฟล์ทุกไฟล์โดยอัตโนมัติ และลบแรนซัมแวร์ที่สร้างขึ้นใหม่ .locked และกู้คืนไฟล์ต้นฉบับที่ถูกลบทั้งหมดกลับไปเป็นโครงสร้างโฟลเดอร์ที่แน่นอนตั้งแต่ก่อนเกิดเหตุการณ์
9. วิธี B: "ถังรีไซเคิลขั้นที่สอง" ที่ซ่อนอยู่ (เมื่อถังรีไซเคิลปกติหมด):
10. จะเกิดอะไรขึ้นหากผู้โจมตี (หรือสคริปต์อัตโนมัติ) เข้าสู่ระบบอินเทอร์เฟซเว็บ OneDrive/SharePoint ของคุณแล้วคลิก Empty recycle bin?
11. บน OneDrive for Business / SharePoint Online (และบัญชี Microsoft 365) การล้างถังรีไซเคิลหลัก จะไม่ลบไฟล์ของคุณ แต่จะย้ายพวกมันไปไว้ใน ถังรีไซเคิลขั้นที่สอง ที่ซ่อนอยู่แทน (Site Collection Recycle Bin) โดยที่ยังคงได้รับการคุ้มครองนานสูงสุด รวม 93 วัน:
    1. เปิด Recycle bin ในแถบด้านซ้ายของ OneDrive
    2. เลื่อนไปจนสุดด้านล่างสุดของหน้าแล้วคลิกลิงก์เล็กๆ ที่มีข้อความว่า: Can't find what you're looking for? Check the Second-stage recycle bin.
    3. เลือกไฟล์ทั้งหมดแล้วคลิก Restore.

2. ดรอปบ็อกซ์ (Dropbox Rewind, Events ย้อนกลับและ Deleted Files)¶

1. วิธี A: การใช้ Dropbox Rewind เพื่อย้อนกลับทั้งโฟลเดอร์หรือทั้งบัญชีของคุณ:
2. พร้อมใช้งานบนแผน Dropbox Plus, Family, Professional และ Business (30 days ถึง 180 days มองย้อนกลับไป):
3. เข้าสู่ระบบ dropbox.com บนเบราว์เซอร์ที่สะอาด
4. หากต้องการกรอกลับบัญชี Dropbox ทั้งหมดของคุณในครั้งเดียว ให้วางเมาส์เหนือ All files ส่วนหัว (หรือคลิก ... (การดำเนินการเพิ่มเติม) ในแผงการดำเนินการทางขวามือเมื่อไม่ได้เลือกโฟลเดอร์เฉพาะ) และคลิก Rewind this folder (หรือ Rewind Dropbox)
5. คลิก Get started -> ดูกราฟกิจกรรมแบบวันต่อวันเพื่อค้นหาการเพิ่มขึ้นของแรนซัมแวร์หรือการลบที่เกิดขึ้น -> คลิกวันนั้นเพื่อซูมเข้าสู่ ไทม์ไลน์แบบชั่วโมงต่อชั่วโมง / นาทีต่อนาที
6. วางตำแหน่งเส้นแนวตั้งสีน้ำเงิน ก่อน เหตุการณ์เลวร้ายจะเริ่มต้น คลิก Continue และคลิก Rewind.
7. Dropbox จะคืนค่าไฟล์ที่ถูกเขียนทับทั้งหมด ล้างบันทึกแรนซัมแวร์ที่เพิ่มเข้ามาใหม่ และกู้คืนโฟลเดอร์ที่ถูกลบทั้งหมดกลับคืนมา
8. วิธี B: จะเป็นอย่างไรหากคุณใช้บริการฟรี Dropbox Basic บัญชี (ที่ไหน Dropbox Rewind ถูกล็อค)?
9. สำคัญ: แม้จะเป็นรุ่นฟรีก็ตาม Dropbox Basic บัญชี (2 GB) Dropbox ยังคงใช้งานได้เต็ม 30 วัน Version History และ 30 วัน Deleted Files กู้คืนไฟล์ทุกไฟล์บนเซิร์ฟเวอร์
10. ตัวเลือก 1 (การกู้คืนด้วยตนเองฟรี): คลิก Deleted files ในแถบด้านซ้ายของ dropbox.com เพื่อกรองตามวันที่และกู้คืนต้นฉบับที่ถูกลบจำนวนมาก หรือคลิก... -> Activity -> Version history on any overwritten file to restore the previous clean revision.
11. Option 2 (Instant Dropbox Plus Upgrade Unlock): Because Dropbox records the underlying event log on all accounts regardless of tier, upgrading a Dropbox Basic account to Dropbox Plus ($11.99 for 1 month) after an incident unlocks the Dropbox Rewind UI over the past 30 days of already-recorded file events.

3. Google Drive & Google Workspace (Trash, Manage Versions, Admin Console 25-Day Post-Trash Recovery, and Bulk API Rollback)¶

Unlike OneDrive and Dropbox, Google Drive does not have a single one-click "Rewind Entire Drive" button in the consumer UI, so you must use the right recovery method depending on whether the files were deleted or overwritten in place:

1. Recovering Deleted Originals from Google Drive Trash (For Rename+Delete Ransomware or Mass Deletion):
2. เปิด drive.google.com/drive/trash ในเบราว์เซอร์เดสก์ท็อป
3. คลิกที่ Trashed date ส่วนหัวของคอลัมน์เพื่อจัดเรียงไฟล์ที่ถูกลบล่าสุดไปด้านบน
4. คลิกไฟล์ล้างไฟล์แรกที่ถูกลบโดยแรนซัมแวร์/อุบัติเหตุ เลื่อนลง ค้างไว้Shift + คลิก ไฟล์สุดท้ายในชุด คลิกขวา และเลือก Restore (Ctrl + Z หรือไอคอนคืนค่านาฬิกา) ทุกไฟล์จะกลับไปยังโฟลเดอร์พาเรนต์ที่ซ้อนกันเดิมโดยตรง
5. จะเป็นอย่างไรหากใช้ Google Drive Trash ว่างเปล่าแล้วใช่ไหม? (Google One Support & Google Workspace Admin 25-Day Rescue):
6. Google Workspace (Business, Enterprise, Education, Nonprofits): แม้ว่าผู้ใช้จะคลิกแล้วก็ตาม Empty trash -> Delete forever เซิร์ฟเวอร์ของ Google จะเก็บไฟล์ที่ถูกลบออกไปอีก 25 วัน เข้าสู่ระบบ admin.google.com ในฐานะผู้ดูแลระบบขั้นสูง -> ไปที่ Directory -> Users -> คลิกผู้ใช้ที่ได้รับผลกระทบ -> เลื่อนลงไปที่ More options (หรือคลิกแผงด้านซ้ายใต้สรุปผู้ใช้) -> คลิก Restore data -> เลือก ช่วงวันที่ (ย้อนหลังสูงสุด 25 วัน) เลือก Drive เมื่อสมัครแล้วคลิก Restore.
7. บัญชี Gmail ส่วนตัว / Google One: หากถังขยะ Google Drive ส่วนตัวของคุณถูกล้างข้อมูลภายใน 25 วันที่ผ่านมา อย่า อย่า เขียนข้อมูลใหม่ลงในไดรฟ์ เปิดทันทีsupport.google.com/drive/gethelp (หรือแชทสนับสนุน Google One) และขอ การกู้คืนไฟล์ที่ถูกลบในไดรฟ์ผู้ดูแลระบบ เครื่องมือสนับสนุนของ Google สามารถทริกเกอร์การกู้คืนแบ็กเอนด์หลังการทิ้งขยะใน 25 วันเดียวกันสำหรับบัญชีผู้ใช้ทั่วไป
8. การใช้ไฟล์ที่ถูกเขียนทับในการกู้คืนจำนวนมาก Manage Versions หรือ Google Drive API (rclone / หลาม):
9. สำหรับ Google เอกสาร ชีต และสไลด์: เปิดไฟล์ -> คลิก File -> Version history -> See version history (Ctrl + Alt + Shift + H) และเรียกคืนการประทับเวลาของเมื่อวาน
10. สำหรับไฟล์ไบนารี่ (PDF, DOCX, XLSX, JPG, ZIP) เขียนทับแทนที่: คลิกขวาที่ไฟล์ใน Google Drive -> File information -> Manage versions โดยที่ Google จะเก็บรักษาเวอร์ชันเก่าไว้เป็นเวลา 30 วัน (หรือ 100 เวอร์ชัน)
11. หากมีการเขียนทับไฟล์ไบนารี่นับพันไฟล์: ห้ามคลิก Manage versions ด้วยมือ 10,000 ครั้ง ใช้ rclone หรือ Google Apps Script / Drive API v3 revisions.list + revisions.delete สคริปต์:
    • ใน Google Drive API v3 เมื่อไฟล์ที่มีอยู่ถูกเขียนทับด้วยเวอร์ชันใหม่ที่ไม่ดี (Revision N) โทร Drive.Revisions.remove(fileId, latestRevisionId) ลบเฉพาะการแก้ไขด้านบนที่เป็นอันตรายที่สร้างขึ้นในวันนี้ ** ส่งเสริมการแก้ไขที่สะอาดของเมื่อวานโดยอัตโนมัติ N - 1 กลับไปเป็นไฟล์ปัจจุบันที่ใช้งานอยู่** ในทุกโฟลเดอร์:

      // Run inside script.google.com (with Advanced Drive Service v3 enabled) to roll back files modified after cutoffTime
      function rollbackOverwrittenFiles() {
        const cutoff = new Date("2026-11-01T00:00:00Z"); // Set to 5 minutes BEFORE the ransomware started
        const files = DriveApp.searchFiles('modifiedDate > "2026-11-01T00:00:00" and trashed = false');
        while (files.hasNext()) {
          const file = files.next();
          const revs = Drive.Revisions.list(file.getId()).revisions;
          if (revs && revs.length > 1) {
            const latest = revs[revs.length - 1];
            if (new Date(latest.modifiedTime) > cutoff) {
              Drive.Revisions.remove(file.getId(), latest.id);
            }
          }
        }
      }
      

12. แอปเปิล iCloud Drive (iCloud.com/recovery การกู้คืนข้อมูล 30 วัน):
13. แม้ว่าไฟล์จะถูกลบออกจาก iCloud Drive และถูกลบออกจากไฟล์ Recently Deleted โฟลเดอร์บน Mac หรือ iPhone ของคุณ เข้าสู่ระบบ icloud.com/recovery ในเว็บเบราว์เซอร์:
14. คลิก Restore Files -> ตรวจสอบ Select All (หรือกรองตามวันที่ลบ) แล้วคลิก Restore. เซิร์ฟเวอร์แบ็กเอนด์ของ Apple จะรักษาห้องนิรภัยการกู้คืนแยกต่างหากเป็นเวลา 30 วัน ซึ่งจะกู้คืนเอกสาร iCloud Drive ที่ถูกลบ โฟลเดอร์เดสก์ท็อป/เอกสาร บุ๊กมาร์ก รายชื่อติดต่อ และปฏิทิน

ระยะที่ 3: การรวบรวมแคชออฟไลน์ในเครื่องจากอุปกรณ์สำรองและ Google DriveFS / Windows Shadow Copies¶

ก่อนที่จะเชื่อมต่อคอมพิวเตอร์เครื่องใดๆ กับอินเทอร์เน็ตอีกครั้ง ให้ตรวจสอบว่าฮาร์ดไดรฟ์ในเครื่องของคุณยังมีสำเนาไฟล์ของคุณที่ไม่เสียหายหรือไม่:

ขั้นตอนที่ 4: โปรโตคอลการเชื่อมต่อใหม่อย่างปลอดภัย (วิธีทำให้คอมพิวเตอร์ที่ล้างสะอาดแล้วกลับมาออนไลน์อีกครั้งโดยไม่ทำให้ระบบคลาวด์เสียหายอีกครั้ง)¶

หนึ่งในข้อผิดพลาดที่พบบ่อยที่สุดในการกู้คืนระบบคลาวด์เกิดขึ้น หลังจาก คุณกู้คืนไฟล์ของคุณสำเร็จในอินเทอร์เฟซเว็บบนคลาวด์: ผู้ใช้เปิดแล็ปท็อปของตนอีกครั้ง ไคลเอ็นต์การซิงค์ในเครื่องจะเริ่มทำงาน และเห็นไฟล์ 20,000 ไฟล์ .locked ไฟล์แรนซัมแวร์ (หรือโฟลเดอร์ว่าง) อยู่บนฮาร์ดไดรฟ์ในเครื่อง และ ซิงค์ข้อมูลเสียหายทันทีไปยังคลาวด์ไดรฟ์ที่เพิ่งกู้คืน

ปฏิบัติตามรายการตรวจสอบการเชื่อมต่อใหม่ที่เข้มงวดนี้: 1. บนคอมพิวเตอร์ที่ทำให้เกิดเหตุการณ์ (Ransomware หรือ Accidental Script): - หากโดน Ransomware: อย่าเชื่อมต่อการติดตั้งระบบปฏิบัติการนั้นกับบัญชีคลาวด์ของคุณอีกครั้ง หลังจากสร้างอิมเมจไดรฟ์เพื่อการตรวจพิสูจน์ทางนิติวิทยาศาสตร์หรือกู้ไฟล์เฉพาะในเครื่องที่ไม่ได้สำรองข้อมูลแล้ว ให้ล้าง SSD ให้หมด (Secure Erase / ลบพาร์ติชันทั้งหมด) และล้างการติดตั้ง Windows หรือ macOS จากตัวติดตั้ง USB ที่รู้จักซึ่งสร้างบนคอมพิวเตอร์เครื่องอื่น - เปลี่ยนรหัสผ่านบัญชี Google, Microsoft, Dropbox และ Apple และตรวจสอบ Account Security -> Devices และ Third-Party App Permissions เพื่อตรวจสอบว่าไม่มีคุกกี้เซสชั่น infostealer ยังคงทำงานอยู่ 2. บนคอมพิวเตอร์รองก่อนเปิด Wi-Fi อีกครั้ง: - หากคุณได้คืนค่าไดรฟ์คลาวด์ให้เป็นสถานะที่สะอาดแล้ว Restore your OneDrive หรือ Dropbox Rewind: : 1. บูตคอมพิวเตอร์รอง โดยที่ Wi-Fi ยังคงปิดอยู่ 2. ปิดการใช้งาน OneDrive / Dropbox / Google Drive ใน แอปเริ่มต้น (Task Manager -> Startup apps) ดังนั้น sync daemon จึงไม่เริ่มทำงานโดยอัตโนมัติ 3. เปลี่ยนชื่อท้องถิ่น C:\Users\<Name>\OneDrive (หรือ Dropbox) โฟลเดอร์ไปที่ OneDrive_OLD_LOCAL_BACKUP. 4. เปิด Wi-Fi อีกครั้ง เปิดแอปคลาวด์ซิงค์ ปล่อยให้แอปยกเลิกการเชื่อมโยงและลิงก์ใหม่อย่างสมบูรณ์ และอนุญาตให้ดาวน์โหลดสถานะคลาวด์ใหม่ทั้งหมดลงในโฟลเดอร์ใหม่

3. การคืนค่าวินโดวส์ Volume Shadow Copies (Previous Versions) และ macOS APFS สแนปชอตในเครื่องบน Source PC¶

จะเกิดอะไรขึ้นหากโฟลเดอร์ที่ถูกเข้ารหัสหรือลบถูก แยกออกจากการซิงค์บนคลาวด์ (เช่น ไฟล์ในเครื่อง) Desktop โฟลเดอร์หรือไฟล์ที่มีขนาดใหญ่กว่าขีดจำกัดการซิงค์) หรือไคลเอ็นต์การซิงค์บนคลาวด์ยังอัปโหลดการแก้ไขเมื่อสัปดาห์ที่แล้วไม่เสร็จก่อนที่จะเกิดข้อขัดข้อง 1. บน Windows 10 / 11 (ShadowExplorer & vssadmin): - ในขณะที่ตระกูลแรนซัมแวร์จำนวนมากพยายามเรียกใช้ vssadmin.exe delete shadows /all /quiet, การควบคุมบัญชีผู้ใช้ (UAC) การตรวจจับจุดสิ้นสุดและการตอบสนอง (EDR) หรือการดำเนินการที่ไม่ใช่ผู้ดูแลระบบมักจะบล็อกการล้าง Shadow Copy - เรียกใช้ Command Prompt ในฐานะผู้ดูแลระบบบนเครื่องแยกและพิมพ์:

vssadmin list shadows

คำถามที่พบบ่อย¶

การจ่ายค่าไถ่ตัวถอดรหัสของแก๊งค์แรนซัมแวร์นั้นสมเหตุสมผลหรือไม่หากไฟล์ของฉันซิงค์กับ OneDrive, Dropbox หรือ Google Drive¶

แทบจะไม่เคยเลย ต่างจากฮาร์ดไดรฟ์ภายในเครื่องแบบสแตนด์อโลนที่ไม่ได้สำรองข้อมูล บริการจัดเก็บข้อมูลบนคลาวด์ (วันไดรฟ์, ดรอปบ็อกซ์, Google ไดรฟ์, กล่องและ ไอคราวไดรฟ์) จัดเก็บไฟล์บนแบ็กเอนด์พื้นที่เก็บข้อมูลออบเจ็กต์ที่ไม่เปลี่ยนรูปแบบ โดยทุกการแก้ไขจะสร้างเวอร์ชันออบเจ็กต์ใหม่และการลบทุกครั้งจะย้ายออบเจ็กต์ไปยังคอนเทนเนอร์ถังขยะ 30 วัน (หรือ 93 ถึง 180 วัน) ไม่ว่าแรนซัมแวร์จะเขียนทับไฟล์ของคุณหรือสร้างใหม่ .ล็อคแล้ว ไฟล์และลบต้นฉบับ ไฟล์ต้นฉบับที่ไม่ได้เข้ารหัสของคุณ 100 เปอร์เซ็นต์ยังคงอยู่บนเซิร์ฟเวอร์ของผู้ให้บริการคลาวด์ภายในประวัติเวอร์ชันหรือในถังขยะ. โดยใช้ คืนค่า OneDrive ของคุณ, Dropbox ย้อนกลับหรือการกู้คืนถังขยะของ Google Drive และการแก้ไขจะกู้คืนไฟล์ก่อนการโจมตีที่แน่นอนของคุณได้ฟรี โดยไม่มีความเสี่ยงที่ตัวถอดรหัสแรนซัมแวร์เสียหาย

เหตุใดแรนซัมแวร์บนพีซี Windows ของฉันจึงจัดการเข้ารหัส Google Drive หรือ OneDrive ของฉันตั้งแต่แรก? คลาวด์ไม่ได้ป้องกันมัลแวร์ใช่ไหม¶

หากต้องการให้ไฟล์บนคลาวด์ทำงานร่วมกับโปรแกรมเดสก์ท็อป เช่น Microsoft Word, Excel, Photoshop และ AutoCAD ไคลเอ็นต์การซิงค์เดสก์ท็อป (Google ไดรฟ์สำหรับเดสก์ท็อป, OneDrive.exe, ดรอปบ็อกซ์.exe) ติดตั้งที่เก็บข้อมูลบนคลาวด์ของคุณเป็น โฟลเดอร์ในเครื่องหรืออักษรระบุไดรฟ์เสมือน (ก:\ หรือ C:\Users\ชื่อ\OneDrive) ภายใต้การอนุญาตผู้ใช้ Windows ของคุณ เมื่อแรนซัมแวร์ดำเนินการภายใต้บัญชีผู้ใช้ Windows ของคุณ มันจะมีสิทธิ์ในการแก้ไขไฟล์เหมือนกับที่คุณทำ นั่นคือ เดินตามอักษรระบุไดรฟ์ทุกตัวที่เมาท์ (ค:\, ด:\, ก:\) และโฟลเดอร์ผู้ใช้ อ่านแต่ละไฟล์ เข้ารหัส และบันทึก แม้แต่ไฟล์ที่ตั้งค่าเป็น "ออนไลน์เท่านั้น / ไฟล์สตรีม" (ไฟล์ตามความต้องการ) ได้รับการดาวน์โหลดโดยอัตโนมัติ ("ไฮเดรด") ได้ทันทีโดย Windows เมื่อใดก็ตามที่กระบวนการแรนซัมแวร์เปิดตัวจัดการไฟล์เพื่ออ่าน นั่นคือเหตุผลว่าทำไมการถอดปลั๊กเครือข่ายทันทีจึงมีความสำคัญ เนื่องจากจะทำให้การดาวน์โหลดไฟล์บนคลาวด์แบบออนไลน์เท่านั้นหยุดชะงักก่อนที่แรนซัมแวร์จะสามารถอ่านไฟล์เหล่านั้นได้

จะเป็นอย่างไรหากฉันลบโฟลเดอร์ที่ใช้ร่วมกันขนาดใหญ่ใน Google Drive หรือ Dropbox โดยไม่ได้ตั้งใจ และสมาชิกในทีมคนอื่นๆ เป็นเจ้าของไฟล์บางไฟล์ที่อยู่ภายในนั้น¶

ใน ดรอปบ็อกซ์สมาชิกคนใดก็ตามที่มีสิทธิ์แก้ไขก็สามารถใช้ได้ ไฟล์ที่ถูกลบ หรือ Dropbox ย้อนกลับ บนโฟลเดอร์ที่แชร์เพื่อกู้คืนลำดับชั้นโฟลเดอร์ทั้งหมดสำหรับทั้งทีม ใน Google ไดรฟ์สถาปัตยกรรมความเป็นเจ้าของจะไม่ซ้ำกัน: เมื่อคุณลบโฟลเดอร์ย่อยภายในโฟลเดอร์ที่ใช้ร่วมกันของบุคคลอื่น (โดยที่ พวกเขา เป็นเจ้าของและคุณเป็นผู้แก้ไข) ลบไฟล์ออกจากโฟลเดอร์ที่แชร์ เด็กกำพร้า ไฟล์แทนที่จะทิ้งให้เจ้าของหรือย้ายเฉพาะไฟล์เท่านั้น คุณ เป็นเจ้าของ ของคุณ ขยะ (drive.google.com/drive/trash) ในขณะที่ไฟล์ที่เพื่อนร่วมงานของคุณเป็นเจ้าของเข้าไป ของพวกเขา ถังขยะ (หรือกลายเป็นเด็กกำพร้าในไดรฟ์รูทที่ค้นหาได้ผ่าน คือ:ไม่มีการรวบรวมกัน เจ้าของ:ฉัน ในแถบค้นหาของ Google ไดรฟ์)

แรนซัมแวร์สามารถลบประวัติเวอร์ชันคลาวด์ของฉันหรือล้าง OneDrive / Google Drive Recycle Bin ของฉันโดยอัตโนมัติได้หรือไม่¶

ไบนารีแรนซัมแวร์ระบบไฟล์มาตรฐาน (ล็อคบิต, อากิระ, แบล็คแคท, เล่น, โฟบอส) ทำงานผ่าน API ระบบไฟล์ Windows ในเครื่องล้วนๆ (สร้างไฟล์W, เขียนไฟล์, ลบไฟล์W) และ ไม่สามารถ โต้ตอบกับเว็บเท่านั้น ประวัติเวอร์ชัน, ถังรีไซเคิลขั้นที่สองหรือ ห้องนิรภัยผู้ดูแลระบบ Google Workspace. อย่างไรก็ตามหากผู้โจมตียังใช้งาน ผู้ขโมยข้อมูล (ลุมมา, สายสีแดง) หรือมีเดสก์ท็อประยะไกลแบบโต้ตอบ (กสท / AnyDesk) เข้าถึงเว็บเบราว์เซอร์ที่เปิดอยู่ พวกเขาอาจเปิดเบราว์เซอร์ของคุณด้วยตนเองแล้วคลิก ถังขยะเปล่า. แม้ว่าพวกเขาจะทำได้ แต่อย่าลืมการหยุดถอยหลังครั้งสุดท้ายสองครั้ง: (1) เปิด วันไดรฟ์ / SharePoint, รายการที่ว่างเปล่าไปที่ ถังรีไซเคิลขั้นที่สอง นานถึง 93 วัน และ (2) เปิด Google ไดรฟ์ / Google Workspaceรายการถังขยะที่ว่างเปล่าจะยังคงกู้คืนได้โดยผู้ดูแลระบบ Workspace หรือฝ่ายสนับสนุนของ Google One 25 วันหลังจากการลบถาวร.

คำแนะนำที่เกี่ยวข้อง¶

• แรนซัมแวร์และมัลแวร์: การแยกและการกู้คืนทันที
• การลบไฟล์โดยไม่ได้ตั้งใจ ฟอร์แมตไดรฟ์ และการกู้คืนรูปภาพ
• ไฟล์ Word, Excel, PDF หรือฐานข้อมูลที่เสียหายและการกู้คืนเอกสารที่ไม่ได้บันทึก
• การสำรองข้อมูลคอมพิวเตอร์: กลยุทธ์ 3-2-1 และการกู้คืนระบบ
• การขโมยคุกกี้เซสชัน มัลแวร์ขโมยข้อมูล และการเพิกถอนรหัสผ่าน
• หมายเลขฉุกเฉินตามประเทศ

แหล่งที่มาและคำแนะนำอย่างเป็นทางการ¶

• การสนับสนุนอย่างเป็นทางการของ Microsoft (support.microsoft.com/en-us/office/restore-your-onedrive-fa231298-759d-41cf-bcd0-25ac53eb8a15): กู้คืน OneDrive ของคุณ (ฮิสโตแกรมการย้อนกลับช่วงเวลา 30 วัน การแจ้งเตือนการตรวจจับแรนซัมแวร์ และการกู้คืนถังรีไซเคิล SharePoint ขั้นแรก/ขั้นที่สอง)
• ศูนย์ช่วยเหลืออย่างเป็นทางการของ Dropbox (help.dropbox.com/delete-restore/rewind & recover-older-versions): การใช้ Dropbox Rewind เพื่อเลิกทำแรนซัมแวร์หรือการลบจำนวนมาก ประวัติเวอร์ชัน 30 ถึง 180 วัน และ .dropbox.cache การแสดงละคร
• ความช่วยเหลือสำหรับผู้ดูแลระบบ Google Workspace และเอกสารอย่างเป็นทางการของ Google Drive (support.google.com/a/answer/6052340 & developers.google.com/drive/api/reference/rest/v3/revisions): การกู้คืนข้อมูล Google Drive ที่ถูกลบอย่างถาวรภายใน 25 วันผ่านคอนโซลผู้ดูแลระบบและ Drive API v3 revisions การจัดการ.
• หน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA / StopRansomware.gov): แนวทางปฏิบัติที่ดีที่สุดในการแยกการซิงค์ Cloud Storage และเวอร์ชันหลังแรนซัมแวร์