某跨境电商独立站群 cPanel 服务器被 Sorry 加密的处置

客户为一家跨境电商企业，以独立站群模式经营，面向欧美与东南亚市场的十余个站点分布在同一机房的多台 Linux 服务器上，统一由 cPanel / WHM 面板托管，站点文件与各站的 MySQL 库同机存放。

为方便外包开发团队与代运营人员维护，WHM 管理端口与 SSH 长期直接暴露在公网，且多台服务器沿用同一套运维口令。面板升级由服务器供应商按季度排期，CVE-2026-41940 的补丁发布后一直没有进入当期变更窗口。

事发在六月的一个周末凌晨。值班运维先收到监控告警：多台服务器 SSH 连不上、MySQL 进程全部离线；随后客服反馈所有站点都报数据库连接错误。工程师从带外控制台登录，发现站点目录与数据目录下的文件均在完整原名后被追加了 .sorry 后缀，每个被加密目录里都写入了一份 README.md，各站点内容完全一致，只留一个固定的 TOX ID，没有受害者专属编号，也没有支付地址。

客户的备份策略是「面板自带计划备份写入本机另一分区 + 每周同步一次到异地对象存储」，本机备份随主机一并被加密，异地副本停留在事发前四天。

第一通电话即下发止损指令：受影响主机保持开机、断网隔离，不要重启、不要重装、不要在原盘上修复，并封禁服务器间 SSH 互通。

• 取证与镜像：对受影响主机做只读磁盘镜像，导出面板与系统日志、Web 日志和出口流量记录，保留原始 README.md 与 .sorry 样本，后续全部在副本上作业。
• 家族确认与可恢复性：.sorry 后缀、每个目录内带固定 TOX ID 的 README.md、/tmp 下 .sorry_ 载荷与 .onion 外连，确认为这一轮 Go 语言 64 位 Linux ELF。该家族对白名单扩展名完整流式加密，密文不留完好区块，页级结构修复不成立，也无可用的公开解密工具，恢复方向锁定备份与日志回放。
• 恢复实施：站点文件以异地对象存储四天前的副本重建；数据库以异云只读从库（不在本次 SSH 横向范围内）为主数据源，再回放主库上未被白名单命中的 binlog，把恢复点推到加密前；静态资源取自 CDN 与对象存储，订单数据按 ERP / OMS 侧副本补齐。
• 加固：失陷主机重建而非清理，cPanel / WHM 升级并纳入常态补丁窗口；面板与 SSH 从公网收回，改走堡垒机加白名单与多因素认证，SSH 改密钥登录并消除跨主机同口令；备份重建为含离线与不可变副本的三份设计。
• 交付物：攻击链时间线与失陷主机清单、恢复范围与缺口说明、外泄影响评估与通报建议、加固验收清单；报告并列注明该家族归属分歧（部分厂商归入 TellYouThePass 新变种，国家预警按 2026 年新家族处理）。