流氓软件误删文件后，先不要继续下载、安装或大量复制文件，尤其不要把恢复工具装在文件原来所在的磁盘。正确顺序是：停止写入受影响磁盘，确认文件是否被移动或隔离，再检查回收站和备份；如果仍找不到，使用另一块磁盘运行恢复工具，并将找回的文件保存到不同位置。越早停止使用，成功恢复的机会通常越大。
先做一件事：如果流氓软件还在弹窗、自动运行或不断改动文件，先断开网络，暂停云同步，不要点击它提供的“修复”“清理”或“恢复”按钮。正在恢复文件时，也不要对受影响磁盘进行格式化、初始化或磁盘清理。
第一步：确认文件是真的删除，还是被移动或隔离
有些流氓软件会把文件改名、移动到隐藏目录，或者被安全软件拦截后放入隔离区。先在文件资源管理器中搜索原文件名和扩展名，例如 .docx、.jpg、.xlsx，并按照“修改日期”或“大小”筛选。也可以检查桌面、下载、文档、临时文件夹以及流氓软件刚创建的目录。
如果文件只是被移动，先复制到一个安全位置，不要直接在可疑程序创建的目录中打开。若文件被安全软件隔离，打开 Windows 安全中心或所使用安全软件的“保护历史”“隔离区”，查看原始路径和文件名。个人文档恢复前应先扫描；被隔离的未知程序、破解工具或可执行文件，不要直接点击“恢复”。
第二步：检查回收站、云端回收站和文件历史记录
普通删除通常会进入回收站。打开桌面上的“回收站”，按删除日期、原位置或文件类型查找目标文件，确认后右键选择“还原”。文件会回到删除前的文件夹。若回收站已经清空，或者使用了 Shift+Delete，就继续检查下面的位置。
- 云盘回收站：如果桌面、文档或图片目录开启了云同步，登录对应云盘客户端或网页端，检查云端回收站和版本历史。先暂停同步，避免本地删除状态继续同步到其他设备。
- 文件历史记录：在控制面板中打开“系统和安全”里的“文件历史记录”，选择“还原个人文件”，按原文件夹和日期找回版本。
- 以前的版本：右键文件原来所在的文件夹，选择“属性—以前的版本”。如果系统或备份工具曾创建快照，可以打开版本查看，再复制出需要的文件。
- 办公软件自动恢复：Word、Excel等程序可能保留未保存文件或自动恢复副本。重新打开软件后查看恢复列表，也可以检查软件设置中的自动恢复位置。
备份恢复通常比扫描磁盘更可靠，也不会因为反复操作而覆盖原数据。只要找到文件的完整版本，优先将它复制到另一块磁盘或外接存储设备。
第三步：没有备份时，用另一块磁盘扫描恢复
如果回收站、隔离区和备份都没有结果，可以使用文件恢复工具扫描原磁盘。关键条件是：恢复工具不要安装在被删除文件所在的磁盘，找回的文件也不要保存回原磁盘。例如文件原来在 C 盘，可以把工具放在 U 盘或 E 盘，并把恢复结果保存到 E 盘、移动硬盘或其他健康磁盘。
- 停止使用源磁盘：不要继续安装软件、下载电影、解压文件或进行系统清理。每一次写入都可能覆盖已被标记为可用的文件空间。
- 先做快速扫描：使用原文件名、文件扩展名、原文件夹和大致日期缩小范围。快速扫描能找到目录结构尚未严重损坏的文件。
- 再做深度扫描：快速扫描没有结果时，再使用深度扫描或按文件类型扫描。深度扫描耗时更长，找到的文件名和原文件夹可能已经丢失，需要通过预览、大小和日期判断。
- 先预览再恢复：图片、PDF、文档可以先预览或打开副本，确认内容没有明显损坏后再批量恢复。
- 分批保存：先恢复最重要的文件，并保存到其他磁盘。不要一次把大量结果写回源盘，也不要因为某个文件打不开就反复对源盘扫描。
如果使用 Windows 文件恢复工具，也可以在管理员命令提示符中尝试。例如，原文件位于 C 盘、准备把结果保存到 E 盘，可先使用：
winfr C: E: /regular /n \Users\你的用户名\Documents\
如果快速模式没有找到，再根据文件类型进行深度扫描：
winfr C: E: /extensive /n \Users\你的用户名\Desktop\*.docx /n \Users\你的用户名\Desktop\*.jpg
这里的 C 盘是源盘，E 盘是保存恢复结果的目标盘，二者不能相同。工具未安装或系统不支持该命令时，不要为了安装工具而继续向源盘写入大量数据，可以改用另一台电脑或启动介质准备恢复环境。
不同情况应该从哪里开始
| 表现 | 优先操作 | 结果判断 |
|---|---|---|
| 文件图标消失，但硬盘空间变化不大 | 搜索文件名、扩展名和隐藏目录 | 可能是移动、隐藏或改名，不一定需要恢复软件 |
| 文件在回收站中 | 右键选择“还原” | 通常可以恢复到原文件夹 |
| 安全软件提示文件被隔离 | 查看隔离区和原始路径 | 确认文件可信并扫描后再处理 |
| 桌面或文档开启了云同步 | 暂停同步，检查云端回收站和历史版本 | 可能直接恢复云端副本 |
| 使用了永久删除或清空回收站 | 停止使用源盘，使用其他磁盘扫描 | 能否恢复取决于是否被新数据覆盖 |
| 文件原来位于固态硬盘 | 尽快停止写入并尝试备份或恢复 | TRIM等机制可能使删除数据更难恢复 |
文件找回后，再处理流氓软件
文件恢复完成后，再清理造成删除行为的程序。打开“设置—应用—已安装的应用”，按安装日期检查近期出现的陌生程序；同时检查浏览器扩展、启动项和任务栏常驻程序。对确认不需要的软件进行卸载，但不要删除文件恢复工具正在使用的目录。
随后打开 Windows 安全中心，先更新安全情报，再运行完整扫描；如果流氓软件仍会自动启动、无法卸载或持续弹窗，可以使用离线扫描。恢复出来的文件也应先扫描再打开，尤其是带有 .exe、.bat、.scr、宏功能的办公文件。个人照片、文档和表格恢复后，建议复制一份到干净的外接磁盘。
这些操作可能降低恢复成功率
- 把恢复软件直接安装到文件原来所在的 C 盘或其他源盘。
- 把扫描出的文件保存回原文件夹，导致新的数据覆盖旧数据。
- 反复重启、安装大型软件、下载文件或解压压缩包。
- 在没有备份的情况下格式化磁盘、初始化分区或重装系统。
- 看到恢复出的未知程序就直接运行，导致流氓软件再次启动。
如果文件只在回收站或备份中，通常可以较完整地恢复；如果已经永久删除，恢复结果取决于磁盘类型、删除后写入量和文件是否被覆盖。重要合同、照片、数据库或工作资料在扫描后仍无结果时，应立即停止继续尝试，保留原磁盘状态，再交给专业数据恢复人员处理。
