（平台提示：本文可能是商业推广软文）
摘要：2026年8月10日，国家计算机病毒应急处理中心发布预警，我国境内发现多起”Sorry”勒索病毒攻击事件。该病毒采用Go语言编写，经garble混淆后静态编译，专打暴露在公网的Linux Web服务器，兼容主流信创操作系统，还能通过SSH弱口令在内网横向扩散——且被加密的数据没有可靠的恢复方法。本文逐阶段拆解其攻击链，给出样本IOC与检测思路，并梳理企业端侧防御的落地要点。
一、事件背景：一次针对Linux服务器的国家级预警
2026年8月10日，国家计算机病毒应急处理中心与计算机病毒防治技术国家工程实验室依托国家计算机病毒协同分析平台（virus.cverc.org.cn）发布预警：我国境内发现多起用户遭”Sorry”勒索病毒攻击的事件。
用户重要文件被加密后，文件名被改为”原文件名+.sorry”，主机上留有勒索信，要求受害者下载加密通信工具联系攻击者。
从预警披露的信息看，这是一个针对性很强的勒索家族：
维度
信息
家族归属
2026年新出现的勒索病毒家族
编写语言
Go语言，经garble混淆编译为静态ELF64样本
攻击目标
暴露在公网的Linux Web服务器
运行环境
国内主流Linux发行版，含信创操作系统
加密特征
文件变”.sorry”后缀，AES+RSA双重加密
传播能力
具备内网横向扩散能力，单点感染可蔓延全网
恢复难度
无解密密钥时，加密数据暂无可靠恢复方法
其中”兼容信创操作系统”和”主动横向扩散”两点，打破了”国产系统攻击面小”的普遍认知，值得重点关注。
二、攻击链六阶段全拆解
根据国家计算机病毒应急处理中心的官方预警报告，“Sorry”的攻击过程分为六个阶段：
图1 “Sorry”勒索病毒攻击链六阶段示意图
阶段一：网络入侵
攻击者利用WebPros cPanel授权问题漏洞（漏洞编号：CNNVD-202604-5641 / CVE-2026-41940）获取服务器管理权限，随后在受害者无感知的情况下投放并运行勒索病毒，将恶意进程伪装成常见的sshd进程。
这里有个隐蔽点：运维在进程列表里看到的是”正常的”sshd，实际上勒索程序已经在跑。基于进程名白名单的检测规则在这一步直接失效。
阶段二：环境探测
病毒生成唯一的受害者标识符，收集用户名、主机名、CPU数量、操作系统信息、活跃网络接口等信息并回传攻击者。目的很直接——评估这台机器的规模和可勒索价值，决定”值不值得加密”。
阶段三：扫清障碍
病毒主动终止数据库、安全防护及备份等相关服务，这是勒索攻击”先断后路”的经典手法： - 终止数据库服务 → 确保数据库文件可被完整加密 - 终止安全防护服务 → 确保加密过程不被拦截 - 终止备份服务 → 阻断数据恢复通道
对”我有备份就不怕”的企业来说，这一步是当头一棒：备份服务本身就是勒索病毒的优先打击目标。
阶段四：数据窃取
加密之前，病毒批量窃取业务数据、配置文件及各类内部文件。这意味着攻击造成的损失不只是”数据不可用”，还有数据泄露——攻击者拿到数据后可以实施”双重勒索”：先威胁公开数据，再索要解密赎金。
阶段五：数据加密
采用典型的封装加密（Envelope Encryption）结构：
文件加密流程
├── 生成随机 AES 密钥（会话密钥）
├── 用 AES 密钥加密业务文件 → 密文文件（.sorry 后缀）
└── 用 RSA 公钥加密 AES 密钥 → 密钥密文（双重加密）
解密只有一条路径：
└── 需攻击者掌握的 RSA 私钥 → 无私钥不可恢复
对称加密保证大批量文件的加密效率，非对称加密保证密钥安全，暴力破解不可行。这也是官方预警”暂无可靠恢复方法”的技术根源。
阶段六：内网横向扩散
病毒扫描SSH端口（22、2222、22222），通过弱密码尝试向其他Linux主机横向传播。当企业内部多台服务器共用同一套用户名和口令时，一台中招等于全网中招。
样本IOC
文件名：sshd文件哈希：01896fbb58e8edefc5a8392e467c2260外联IP：68.183.190.253:80
建议在防火墙、EDR、威胁情报平台上对上述IOC做封禁与检索，排查历史告警中是否有对应外联记录。
三、三个现实威胁：信创、横向与不可恢复
结合公开披露的案例，“Sorry”已对国内多个行业造成实际冲击——据行业媒体报道与应急响应团队披露，有制造业公司业务系统被加密后全面瘫痪，广东某连锁药店的管家婆管理系统SQL Server数据库被加密，上海某医疗器械外贸企业的金蝶云星空ERP系统被锁死。报道还指出，受害者集中在部署了”管家婆”等管理系统、且服务器管理端口暴露在公网的中小企业。
归纳起来是三个叠加的风险：
信创兼容：病毒可在主流信创操作系统上运行，信创环境并非”法外之地”；
主动传播：具备内网横向扩散能力，一台中招可能波及全网；
不可恢复：无解密密钥时数据无可靠恢复方法，防御重心必须前移。
四、传统防御为什么失效
先看一组数据。根据Verizon《2026年数据泄露调查报告》（DBIR 2026），勒索软件或相关勒索行为出现在48%的数据泄露事件中（较2024年的44%继续上升）；69%的受害者选择不支付赎金，赎金中位数降至约13.99万美元；在初始访问向量上，漏洞利用首次超越凭证滥用成为最常见入口（31% vs 13%），而企业仅修复了26%的关键漏洞，中位修补时间长达43天[3][4]。
对照”Sorry”的攻击方式，传统方案的三条防线各有明显短板：
传统方案
核心机制
面对”Sorry”的局限
终端防病毒/EDR
依赖样本特征库检测
Go语言+garble混淆的静态ELF64样本，免杀能力强，特征库更新滞后于变种
漏洞扫描+端口封堵
事前修补
仅26%关键漏洞被及时修复，cPanel漏洞在补丁窗口期内可被批量利用
备份恢复
事后恢复
病毒主动终止备份服务、加密备份文件，“备份被一锅端”已成常见手法
关键点在于garble混淆：Go语言天然静态编译，garble能混淆符号名、字符串常量甚至控制流，每次编译产出的样本哈希都不同。传统特征码方案靠”哈希+特征串”匹配，面对这类”每编译一次就变一个样”的样本，本质上是跟不上的。这也解释了为什么官方预警专门强调”伪装成sshd进程”——进程层伪装叠加样本层混淆，静态检测基本失效。
五、端侧防勒索：从检测到阻断的防御思路
既然静态特征靠不住，防御就必须从”样本识别”转向”行为识别”。端侧防勒索的核心逻辑是：不依赖单一特征，在攻击链的每个环节进行行为检测与多级阻断，覆盖预防、预警、阻断、回溯全生命周期。以青藤端侧防勒索方案为例，其防护体系大致如下：
图2 端侧防勒索全生命周期防护体系示意图
预防层——收敛攻击面 - 高价值资产常态化清点：自动识别服务器、数据库、财务软件等核心资产，建立台账并对比变更； - 勒索专项风险检查：覆盖勒索攻击常用漏洞TOP 1000、高危端口、弱口令，持续治理入侵入口。
预警层——多维检测，不依赖单一特征 - 多引擎防病毒查杀：支持落盘查杀与全盘扫描，覆盖已知样本； - 家族型勒索深度检测：AI识别关键数据向量，应对变种”变形”； - 550+已知行为检测：覆盖ATT&CK攻击链各阶段，在入侵、横向移动、凭证窃取阶段即产生告警； - 勒索专项行为识别：针对删除卷影副本、终止备份进程、批量文件加密等勒索特有行为做规则树检测； - 智能诱饵检测：部署诱饵文件，加密早期即触发告警，对业务零干扰； - 未知行为检测：基于进程和数据文件行为的白名单学习，抓未知勒索变种。
阻断层——分级响应 四级递进阻断：进程内行为阻断 → 进程阻断运行 → 病毒文件强制隔离 → 失陷主机网络隔离，按业务环境选择阻断级别，兼顾安全与业务连续性。
回溯层——链路还原与取证 攻击链路分析（多告警关联，还原完整攻击过程）+ 原始日志查询（系统活动、上下文可追溯），为处置和监管通报提供依据。
这套思路的技术合理性在于：样本可以混淆，但行为跑不掉。无论样本怎么变，“批量重命名文件、删除卷影副本、终止备份服务、异常写盘”这些加密前置行为是必须执行的，行为检测抓的就是这个必然动作。
六、企业对照自查清单
结合”Sorry”的攻击链，给出可落地的自查项（建议按优先级执行）：
立即做（本周） - [ ] 排查公网暴露的SSH、数据库、cPanel/WHM管理端口，能收敛的收敛，必须远程管理的走VPN/堡垒机 - [ ] 全网弱口令清零，禁止多台服务器共用同一用户名和口令 - [ ] 升级cPanel/WHM及Web中间件到最新版本，核对补丁安装情况 - [ ] 在防火墙/威胁情报平台封禁上述IOC（hash、IP）
一周内 - [ ] 确认核心服务器（数据库、ERP、财务系统）是否安装了端侧安全代理，且拦截功能处于开启状态（只开监测不开拦截等于裸奔） - [ ] 检查备份体系：备份是否与生产网络隔离、是否离线、近期是否做过恢复演练 - [ ] 用勒索专项漏洞扫描覆盖暴露在公网的Linux资产
持续机制 - [ ] 关键服务器进程异常、批量文件重命名、卷影副本删除等告警纳入监控 - [ ] 备份恢复演练常态化（每季度至少一次）
七、总结
“Sorry”勒索病毒是2026年勒索攻击趋势的一个缩影：利用暴露面漏洞打进入口，用弱口令横向扩散，先窃取数据再加密文件，通过”双重勒索”最大化收益；而Go语言混淆、信创兼容等特征，进一步压缩了传统特征检测方案的有效空间。
对企业而言，防御的重心必须前移——不依赖单一特征匹配，在攻击链早期就能发现、发现了能拦住、拦住了能溯源。勒索攻击不会消失，但让攻击链条的任一环节断裂，企业的数据安全和业务连续性就多一分保障。
参考资料
1. 国家计算机病毒应急处理中心（CVERC）：《关于”Sorry”勒索病毒的预警报告》，2026 年 8 月 10 日
2. 安全内参转载 CVERC 预警全文（含 IoCs 附录），2026 年 8 月 10 日
3. BleepingComputer：Critical cPanel flaw mass-exploited in “Sorry”ransomware attacks（含 Shadowserver 失陷统计与 Rivitna 逆向结论），2026 年 5 月 2 日
4. 安全客：国内多点爆发综述，2026 年 8 月 19 日
5. CN-SEC：Sorry 变体样本技术拆解（社区逆向分析转载），2026 年 8 月23 日
6. Forrester：The Top Cybersecurity Threats In 2025，2025 年 4 月 16 日
7. watchTowr Labs：CVE-2026-41940 根因分析与 PoC
8. ThreatLocker：Sorry 勒索软件利用 cPanel 认证绕过（CRLF 注入）机制拆解
9. NVD：CVE-2026-41940 详情（CVSS 9.8、CISA KEV、版本矩阵）
10. mysites.guru：Sorry 勒索病毒 cPanel 检测与补充行为分析
11. KELA：2025 年 1-9 月全球勒索事件 4,701 起，关键行业攻击激增 34%、制造业+61%
12. Chainalysis：《2026 加密货币犯罪报告》数据中文解读（支付率 28%、受害者数量同比增长 50%）