如何使用flat。vmdk进行修复CryptoLocker勒索病毒感染的虚拟机？

　　继上一篇文章介绍《 ESXI6.*如何防范CryptoLocker勒索病毒》，对于遇到这种病毒的用户，我会告诉你如何恢复虚拟服务器。该病毒会加密 .vmdk .vmx 之类的小文件，但不会加密 server-flat.vmdk 文件。在 ESXi 文件结构中，实际数据保存在 flat.vmdk 中。此文中将介绍如何使用 flat.vmdk 进行修复。
　　注意： 此恢复过程适用于磁盘类型为精简备至的虚拟服务器。如果您在安装虚拟服务器时选择了厚置备磁盘类型，那么在这个恢复过程之后，您的虚拟服务器将在启动时会报找不到操作系统的警告。恢复的方法是从头开始安装 Windows 并添加您保存为第二个磁盘的 .vmdk 文件，然后从 Windows 中获取文件。这个我将在后续介绍
　　当你进入你的 ESXi 服务器时，你会看到一个关于 SSH 的警告；这个之前介绍过
　　勒索信息
　　当您看到此屏幕时，首先重新启动 ESXi，以便 ESXi 界面恢复。服务器开启后，启用SSH,通过SSH进入系统。我们需要记住虚拟服务器的flat.vmdk文件大小，因为需要根据flat.vmdk来做恢复。 cd/vmfs/volumes/******** #这里进入虚拟机存储位置 ls -la #ji记录下flat.vmdk文件大小
　　如下图所示，-flat.vmdk 文件的大小为 64424509440。
　　在我们将删除受感染的 .vmdk 文件。为此，键入 rm -rf xxx.vmdk 并删除 .vmdk 文件。注意：删除 xxx.vmdk 文件。 【切勿删除 xxx-flat.vmdk 文件】
　　创建新的.vmdk文件，还记得上面几下的文件大小吗？这里不要输错。 vmkfstools -c 64424509440 -d thin temp.vmdk #创建新的VMDK文件
　　当您使用 Filezilla (其他SFTP软件都可以进入)进入该文件夹时，您将看到创建了 temp.vmdk 和 temp-flat.vmdk 文件，如下所示。
　　现在就可以使用文本编辑器打开 temp.vmdk 文件。您将看到如下所示的屏幕。
　　修改 flat.vmdk 名称是 185.88.172.17-flat.vmdk
　　删除 ddb.thinProvisioned=＂1＂ 。
　　编辑并保存我的 .vmdk 文件后，我删除了 temp-flat.vmdk 文件。您可以使用 rm -rf 命令从 FTP 删除或从 SSH 删除。 rm -rf temp-flat.vmdk
　　现在，需要把配置文件修改成我们原有的虚拟机名称格式，我将 temp.vmdk 文件的名称设为与 flat.vmdk 相同。 flat.vmdk 名称是 185.88.172.17-flat.vmdk。所以我将 temp.vmdk 文件名更改为 185.88.172.17.vmdk 所以我只删除了 -flat 行。
　　接下来我们将编辑您的 .vmx 文件。由于您当前的 .vmx 文件已被感染，其备份仍保留为 .vmx~。您将在您的文件夹中看到 2 个文件，xxxx.vmx 和 xxxx.vmx~。
　　我文件夹里的.vmx名字是185.88.172.17.vmx~。我用记事本打开它，获取所有代码并将它们粘贴到原始 .vmx 中。因此，我将 .vmx~ 文件中的所有代码粘贴到 .vmx 文件中并保存。这里图片就不贴了。
　　然后我再次删除文件夹中的.vmsd 文件。这会阻止受感染的虚拟服务器打开，因此还要删除 xxxx.vmsd 文件。 rm -rf **.vmsd 
　　返回 SSH 并运行 vmkfstools -e xxxx.vmdk。 vmkfstools -e xxxx.vmdk
　　现在我们将在 ESXi 中重新定义虚拟服务器。
　　为此，在 ESXi 中输入数据存储，然后右键单击您编辑的文件夹中的 xxxx.vmx，然后注册 VM。由于我的 .vmx 文件名为 185.88.172.17.vmx，我右键单击它并创建了一个注册 VM。
　　如果在添加VM的时候出现VM已经存在的错误，首先在ESXi主界面的Virtual Machines区域找到虚拟服务器，右键点击，然后Unregister it，也就是从ESXi界面中移除，然后右键单击 .vmx 并注册 VM。
　　【注意：反注册不是删除，否则将永久删除。】
　　重新注册虚拟机VM后，就可以正常打开服务器了。
　　这些过程完成后，不要忘记防火墙设置；
　　SSH Server；vSphere Web Client；vSphere Web Access；NFC；VMware vCenter Agent
　　以上服务最好只允许特定的 IP 地址访问，其他全部拒绝。