Sorry 勒索病毒解密与数据恢复

Sorry 是 2026 年爆发的勒索病毒，用 Go 语言编写，目标集中在暴露于公网的 Linux Web 服务器（它是否算独立家族尚有分歧，见下文）。其爆发与一个漏洞直接绑定：cPanel / WHM（含 DNSOnly）认证绕过漏洞 CVE-2026-41940（CNNVD-202604-5641，CVSS 9.8），自 2026 年 2 月下旬起被作为 0day 在野利用，4 月底官方补丁发布后利用量迅速放大。5 月 2 日 BleepingComputer 报道该漏洞正被大规模利用投放 Sorry 的 Linux 加密器，Shadowserver 统计至少 4.4 万个 cPanel IP 被入侵；8 月 10 日国家计算机病毒应急处理中心（CVERC）发布预警报告，确认境内发现多起攻击事件；9 月 4 日人民日报刊发的「网警提醒」点名 Sorry、Weax 两个家族近期攻击活跃，制造、商贸、医疗、教育、科技行业接连中招。

它属于机会型、规模化攻击者：扫描全网漏洞资产批量投放，中小企业官网、Web 业务系统、财务与 ERP 服务器、云主机是重灾区。CVERC 指出其可在国内大部分主流 Linux 发行版（含信创操作系统）上运行并具备主动横向能力，一台边缘服务器失陷即可能演变为内网大面积感染。

家族归属存在分歧，本页如实并列两种口径。 主张「TellYouThePass 新变种」的一方：亚信安全 2026 年 5 月的《Sorry 勒索软件深度分析报告：TellYouThePass 家族新变种的威胁演进与立体防御》依据样本静态特征与行为链路比对，判定其为「与 TellYouThePass 家族存在较强关联的新变种」，8 月针对 Linux 波次的续报沿用该口径（检出名 Ransom.Linux.YSORR.THEOEBF）；CN-SEC 转载的 Solar 应急响应团队 3 月报告同样称与本家族 .locked 变种「高度同源」，但未给出代码级比对。主张「独立新家族」的一方：国家计算机病毒应急处理中心 8 月 10 日的预警明确写为「该病毒归属于 2026 年新出现的勒索病毒家族『Sorry』」；BleepingComputer、Censys、ThreatLocker 报道该轮活动时均未与任何已知家族挂钩，研究者 Rivitna 判定其为「用 Go 新写的勒索软件」，Amigo-A 在 ID-Ransomware 上以 SorryGo（Sorry 2026）单独登记。奇安信的报告则直接写明「部分公网分析将其与 TellYouThePass / Phobos 家族关联，不同来源说法不一」。360 的 3 月预警又是第三种说法——攻击手法接近 TellYouThePass，勒索信格式却更像 WormHole。结论：归属尚无定论，应急处置不应依赖家族标签，识别与恢复判断一律以现场样本为准；对外报告与通报中建议同时注明两种口径。

另外，2018 年一波基于 HiddenTear 的活动同样使用 .sorry 后缀，与本轮无关；截至 2026 年 9 月，Sorry 未见公开泄露站，勒索信无支付地址与自动化解密入口，全部通过 Tox 人工协商。

后缀与勒索信：加密文件在完整原名后追加 .sorry（order.sql 变为 order.sql.sorry）。每个被加密目录写入 README.md，内含一个固定 TOX ID，要求受害者安装 qTox 联系；同一轮攻势中勒索信内容基本一致，没有受害者专属编号、比特币地址或网页谈判门户。

主机侧现象（往往比后缀更早暴露）：

• SSH 服务被强行停止（以 /bin/bash 与 /bin/sh 执行 systemctl stop sshd、service ssh stop 等四条命令覆盖不同发行版），典型报障就是「服务器突然 SSH 登不上」；
• 数据库进程被 pkill -9 批量终止，业务先于文件被打断；
• 恶意进程伪装成常见的 sshd 进程名；
• /tmp 下出现 .sorry_ 加 8 位随机字符的可执行文件及同名 .log 日志；
• 存在指向 .onion 地址的 Tor 出站连接。

文件结构：加密文件带固定长度文件头，含魔数、截断的原文件名片段与 RSA 包裹密钥块，体积略大于原文件。头部长度随构建分支不同：天融信逆向的 8 月变种为 288 字节（0x120），另有公开分析在 5 月 cPanel 战役样本上记录到约 2KB 的头部结构，因此判定须以现场实际样本为准。

与 TellYouThePass 旧版 .locked 波次的区别：部分厂商把本轮归为 TellYouThePass 的新变种，但现场可核对的特征差异明显——旧版 .locked 波次同时投放 Windows 与 Linux，勒索信是用浏览器打开的 README.html / READ_ME.html，内嵌比特币地址与 0.1 BTC 级别的小额赎金，通过自建域名邮箱或 Tor 页面联系，入口是用友 NC、畅捷通 T+、Log4j2、PHP CGI 一类的应用层漏洞；本轮 .sorry 则是 64 位 Linux ELF（Go 编写、Garble 混淆），勒索信为纯文本 README.md（亚信安全记为 ReadMe.md），无支付地址、只留固定 TOX ID，入口是 cPanel/WHM 的 CVE-2026-41940 加内网 SSH 弱口令横移。另需注意：国内 2026 年 3 月还有一波以 HTA/VBScript 无文件投递、Windows 平台、删除卷影为特征的 .sorry 事件（Solar 与 360 的报告），与 5 月起的 Linux cPanel 波次并不是同一个载荷，因此「看到 .sorry」并不能直接套用本页的处置结论，必须先确认手上的样本属于哪一支。

判定要点：.sorry 后缀加同目录 README.md 加 TOX ID 加 64 位 Linux ELF 载荷，可确认为本页描述的这一支。需注意国内部分数据恢复类文章把 .sorry 描述成「Windows 上的 RDP 爆破 + 稀疏加密」，与权威样本分析相悖——公开确认的样本均为 64 位 Linux ELF，且不采用间歇加密，定性必须以实际样本为准。

初始入侵：攻击者利用 WebPros cPanel / WHM 授权绕过漏洞 CVE-2026-41940 直接获取服务器管理权限，在受害者无感知的情况下投放并运行加密器。不需要钓鱼、不需要弱口令，只要管理面板暴露在公网且未打补丁即可。

环境探测：生成唯一受害者标识符（用户名、主机名、CPU 数量、操作系统信息、活跃网络接口），经 Tor 隐藏服务回传。

扫清障碍：加密前停止 SSH 服务切断远程救援通道，并强制终止数据库、安全防护与备份相关服务，既释放文件句柄也压缩企业的处置窗口。

数据窃取：CVERC 把窃密列为独立环节——批量窃取业务数据、配置文件与内部文件后再加密。但该家族未见公开泄露站，外泄数据的后续处置不透明，不能因为「没看到挂出来」就认定数据安全。

内网横向扩散（最容易被低估的部分）：扫描内网 SSH 服务（公开分析未逐一列出端口，排查时标准端口与自定义端口都应覆盖），用内置弱口令字典（含 user@123、1234、2024–2026 一类口令）并发爆破，成功后经 SFTP 把载荷上传到远端 /tmp、赋予可执行权限、以 nohup 后台启动，新失陷主机重复完整流程形成级联扩散。因此处置时绝不能只看被漏洞打穿的那台 Web 服务器：只要内网 Linux 主机之间存在同口令或弱口令，感染面就会沿 SSH 一路铺开。

工程质量：样本为 64 位 Linux ELF，Go 语言编写并经 Garble 混淆，符号破坏率超过 99%，明显抬高逆向与特征检测门槛。

混合加密体系：随机对称密钥（Go 标准库 crypto/rand）被内嵌 RSA-2048 公钥按 PKCS#1 v1.5 包裹后写入文件头，明文密钥仅短暂驻留内存。对称算法与密钥粒度在不同样本上报告不一：BleepingComputer 与研究者 Rivitna 称 5 月那批 cPanel 战役样本使用 ChaCha20，并记录为「每受害者主密钥 + 逐文件随机数」；天融信阿尔法实验室 8 月捕获的变种为 AES-256-GCM、按 64KB 分块加密且逐文件独立密钥；CVERC 预警只笼统表述为 AES。合理解释是存在多个构建分支，但外层 RSA-2048 包裹三方一致。

不是间歇加密（这一点决定恢复策略）：样本按目录并发遍历，命中内置扩展名白名单（天融信逆向的变种为 84 类）即完整流式加密，GCM 还带块级完整性校验。这与 Rhysida、LockBit 等部分加密家族有本质区别——密文里不留可供数据库页级抽取的完好区块，「靠间歇加密做结构修复」在本家族不成立。

主动破坏恢复路径：加密后对源文件随机覆写——以 O_WRONLY 打开原文件写入 crypto/rand 数据，小于 10MB 覆写 1MB、大于等于 10MB 覆写 5MB，最后强制落盘，属明确的反数据恢复设计。

平台覆盖：Linux 没有卷影副本可删，攻击者改用停服务、杀进程达到同等效果。公开确认的加密器仅有 Linux 版本，尚无经权威分析证实的 Windows 或 ESXi 加密器，但 Go 的跨平台特性意味着后续构建并非不可能。