4118云顶集团

4118云顶集团深度剖析：Sorry勒索病毒逆向剖析与防护指南

近期，4118云顶集团阿尔法实验室捕获到一款“Sorry”勒索病毒变种，该样本经由Garble混淆处置惩罚，符号破损率超99%，具备SSH自动化横向移动、混淆加密、回声应整理、Tor隐藏通讯等完整攻击能力，对内网服务器集群威胁极大。

新闻中心

4118云顶集团深度剖析：Sorry勒索病毒逆向剖析与防护指南

宣布时间：2026-08-12

浏览次数：1292

分享：

克日，国家盘算机病毒应急处置惩罚中心和盘算机病毒防治手艺国家工程实验室宣布预警报告，指出我国境内发明多起我国用户遭“Sorry”勒索病毒攻击事务。用户主要文件被加密后文件名被更改为原文件名+“.sorry”后缀字符串，同时，攻击者会在用户主机上留下勒索信，要求用户下载加密通讯工具与其联系。

与此同时，4118云顶集团也监测到针对Linux服务器情形的定向勒索攻击一连高发，Go语言编写的勒索样本具备跨平台攻击能力，攻击目的笼罩主流Linux刊行版及信创系统，重点侵袭中小企业官网服务器、Web营业系统、财务ERP服务器、云主机等公网袒露资产。

与古板勒索病毒相比，“Sorry”家族病毒隐藏性更强，强混淆对抗且具有高并发执行的特征，常使用果真误差批量扫描投放，攻击链路短、扩散速率快，短时间内即可造成大规模营业中止，逐渐成为攻击者入侵企业内网的主流载荷。履历证，4118云顶集团EDR、自顺应清静防御系统均可准确检测并查杀该病毒，通过周全的清静�；�，有用阻止该事务伸张。

近期，4118云顶集团阿尔法实验室捕获到一款“Sorry”勒索病毒变种，该样本经由Garble混淆处置惩罚，符号破损率超99%，具备SSH自动化横向移动、混淆加密、回声应整理、Tor隐藏通讯等完整攻击能力，对内网服务器集群威胁极大。

病毒剖析

一、样本概述

4118云顶集团阿尔法实验室剖析，该样本为64位Linux ELF可执行文件，接纳Go语言开发并经由Garble混淆处置惩罚，函数名被批量混淆，仅少少部分保存原始符号，大幅提升了逆向剖析与特征检测的门槛。

通过功效�？椴鸾�，以为其为针对企业Linux服务器的成熟勒索病毒，具备四大焦点能力�？椋�

1.?文件加密能力：对匹配白名单扩展名的文件接纳AES-256-GCM流式加密，密钥由内嵌RSA-2048主公钥包裹，加密后追加.sorry后缀并随机覆写源文件，破损数据恢复路径；

2.?SSH横向移动能力：扫描内网SSH服务，基于弱口令字典开展凭证爆破，乐成后通过SFTP上传载荷并以nohup方法后台长期化；

3.?回声应整理能力：自动阻止SSH服务、强制终止常见数据库历程，阻断运维救援通道；

4.?隐藏C2通讯能力：通过Tor隐藏服务回连，用于回传熏染状态/吸收后续指令。提供qTox离线协商入口，无内置支付地址，接纳“人工协商”型勒索运营模式。

二、攻击执行全流程还原

基于函数挪用关系与逻辑分支，梳理样本具有「历程初始化-文件加密链-SSH横向移动-C2通讯」四条焦点执行主线，整体流程如下：

Sorry勒索病毒整体执行流程

样本启动后，首先完成运行时初始化与单实例锁校验，随后优先执行回声应操作切断救援通道；加载内嵌RSA公钥后，通过使命调理器并行分发三大使命：对内网SSH服务开展扫描爆破、对外地文件按目录遍历加密、通过Tor网络回连C2服务。SSH爆破乐成的主机将被投递相同载荷，重复完整攻击流程，实现内网自动化扩散。

三、深度逆向剖析

3.1 主调理入口

通过Go语言运行时特征定位，确认样本主调理函数main.main位于地址0x6142A0。函数首先剖析下令行flag参数，随后挪用sub_5C4E20基于flock机制获取单实例锁，阻止多实例并发造成文件损坏与行为袒露。

锁获取乐成后，样本按牢靠顺序执行攻击调理：阻止SSH服务（sub_5C2F80）→终止数据库历程（sub_5C4640/sub_5C4A40）→读取内嵌RSA公钥（sub_5C0140）→使命链分发（sub_5C21E0，拆分加密/横向移动/C2三大分支）→进入主循环（sub_5C4FA0）。

主调理挪用链

3.2 回声应与整理机制

样本在正式加密前先执行回声应操作，焦点目的是切断运维职员远程登录通道、抢占被加密文件独吞权限、降低被应急处置惩罚的概率，4118云顶集团阿尔法实验室还原了两路焦点整理逻辑：

（1）阻止SSH服务

函数sub_5C2F80通过/bin/bash与/bin/sh两路Shell，划分执行4条阻止下令，笼罩差别Linux刊行版的服务管理方法，确保SSH服务被强制终止：

? systemctl stop sshd

? service ssh stop

? systemctl stop ssh

? service sshd stop

阻止SSH服务实现逻辑

（2）终止数据库历程

函数sub_5C4A40通过pkill-9批量强制终止常见数据库历程，释放数据库文件的句柄占用，确保加密可正常执行。

终止数据库历程实现逻辑

3.3 文件加密链路深度拆解

文件加密是样本的焦点功效，4118云顶集团阿尔法实验室逐个函数还原了从密钥天生、密钥包裹、文件头结构到流式加密的完整链路，其加密设计严谨，切合今世勒索软件的标准手艺范式。

3.3.1 每文件自力密钥天生

函数sub_5BE8C0挪用Go标准库crypto/rand，为每个待加密文件天生自力的32字节AES-256会话密钥。密钥仅在内存中短暂保存，随即被RSA加密后写入文件头，原始密钥全程不落盘，阻止通过内存dump之外的方法窃取密钥。

AES-256密钥天生实现

3.3.2 RSA-2048分块加密

函数sub_5C2500接纳RSA-2048 PKCS#1 v1.5标准对会话密钥做分块加密：先通过_BitScanReverse64盘算输入位长，推导每块可用明文长度为245字节，再通过循环逐块挪用RSA加密原语函数sub_520000，最终将32字节AES密钥连同20字节辅助数据（aux）包裹为256字节密文块。

RSA-2048PKCS#1v1.5分块加密实现

3.3.3 文件头结构

函数sub_5BFBE0完成加密文件头的拼装，接纳牢靠名堂的结构化设计，文件头总长288字节（0x120），解密器可通过魔数与牢靠长度快速定位密文流起点；其中head1仅保存20字节原始文件名，既加入完整性校验，又阻止过长路径信息泄露。

文件头结构：head1截断与魔数写入

文件头结构：RSA包裹与大端长度写入

3.3.4 AES-256-GCM流式加密

文件正文以64KB为单位分块加密，接纳AES-256-GCM认证加密算法。每块的nonce由4字节零前缀+8字节大端块序号组成，块计数器从0最先递增。GCM模式同时提供神秘性与完整性校验，块级校验失败会中止加密，属于典范的“完整性优先”设计，若无对应解密器，仅凭密文无法恢回复始文件。

3.4 防恢复覆写机制

加密完成后，样本通过sub_5BEF20对源文件执行随机覆写，破损残留明文以提升数据恢复难度：以O_WRONLY模式翻开原文件，按64KB分块用crypto/rand天生的随机数据填充缓冲区并写入；源文件小于10MB时覆写1MB，大于即是10MB时覆写5MB，最后挪用os.File.Sync（地址0x5BF232）强制落盘，确保文件系统缓存写入磁盘。

源文件随机覆写实现

3.5 SSH横向移动与长期化

内网自动化横向是该样本的焦点撒播能力，也是其能快速扩散的要害，4118云顶集团阿尔法实验室完整还原了“扫描-爆破-投递-长期化”全链路。

3.5.1 服务扫描

函数sub_60A540按目的层级对内网网段开展SSH服务扫描，日志标记包括[+] Scanning…、[+] Found%s、[+] Scancomplete，掷中存活SSH服务后挪用sub_60A820加入爆破分刊行列。

SSH服务扫描实现

3.5.2 凭证爆破

函数sub_60ABE0为爆破调理器，内置弱口令字典（包括user@123、1234、2024–2026等常见弱口令），在循环内并发提倡登录实验，爆破乐成后通过channel上报，并进入登录执行函数sub_60B040。

凭证爆破调理实现

3.5.3 投递与长期化

登录乐成后的载荷投递逻辑位于sub_60F7A0，从反汇编中提取了完整的执行办法：

1.通过SFTP将自身载荷上传至远端主机/tmp/.sorry_<8位随机字符>路径；2.执行chmod+x付与可执行权限；3.通过nohup%v>/tmp/.sorry_%v.log2>&1&下令后台启动，实现历程常驻，设置30秒超时；4.新失陷主机重复完整攻击流程，实现内网级联扩散。

反汇编中可提取三处要害日志字符串：

? 密钥登录乐成：[+] SUCCESS%s:%d ?user=%s ?key=%s（地址0x60f8af）

? 口令登录乐成：[+] SUCCESS%s:%d ?user=%s ?pass=%s（地址0x60f9aa）

? 外地载荷缺失：localFile is not exist（地址0x60fa22）

投递与长期化指令序列

3.6 目录遍历战略

函数sub_60FF00挪用path/filepath.Walk对目的目录按层级并发遍历，掷中扩展名白名单（共84类，对应函数sub_611040）的文件进入加密链路。

遍历历程接纳按层统计战略，日志标记包括layer%dfinished:file=%d,skip_file=%d、total_dir=%d,total_skip_dir=%d、total_file=%d/%d，便于攻击者掌控加密进度。

目录遍历与层级统计实现

3.7 C2通讯与勒索信设计

3.7.1 Tor隐藏服务C2通讯

样本C2地址为phertelnetlisten.onion（数据引用地址0x68D13A）。函数sub_539FE0对C2域名做正当性校验：检测末尾点、限制长度≤254、按点拆分域名，并挪用sub_539F40判断是否为.onion域名。

C2域名剖析与正当性校验实现

样本在失陷主机上通过Tor匿名网络回连该服务，用于回传熏染状态/吸收后续指令。它与勒索信中的TOX ID（赎金人工协商渠道）是两条相互自力的通道——onion地址走Tor控制通道，TOX ID走qTox加密谈天。

3.7.2 人工协商模式勒索信

样本在每个加密目录写入README.md勒索信，内容包括TOX ID与RSA公钥。该样本未内置加密钱币支付地址与自动化解密入口，要求受害者装置qTox工具添加指定TOX ID联系攻击者，接纳纯人工协商的运营模式，进一步提升追踪难度。

勒索信内容

防护建议

面临“Sorry”等种种勒索病毒的常态化攻击，企业可从多维度构建基础防护系统，前置化解危害：

1、收敛网络界线，做好内网分区

周全梳理公网袒露资产，关停非须要端口与服务，严禁SSH、RDP、SMB、数据库等高危管理端口直接映射公网。按营业域对内网举行逻辑隔离，限制跨区域默认会见，阻止单点熏染快速扩散全网。

2、加固系统权限，实时修复误差

建设常态化误差巡检机制，高危误差72小时内完成补丁修复。遵照最小权限原则，设置高强度密码并按期替换；关闭不须要的文件共享，禁用SMBv1等老旧高危协议，一连收敛攻击面。

3、落实数据备份，验证恢复能力

焦点数据保存多介质副本，备份情形与生产网络隔离。焦点营业设置“准时增量+ 周期全量”备份战略，按期开展恢复演练，确保攻击后可快速通过备份恢复营业。

4、严控入口渠道，阻断撒播路径

安排邮件清静网关，阻挡垂纶邮件与带毒附件，对外来邮件统一添加外部标识。严禁下载运行泉源不明的软件、剧本与破解工具；外接存储装备跨装备使用前，必需先举行病毒查杀，阻止物理摆渡撒播危害。

5、强化清静意识，完善应急机制

按期开展全员清静培训，针对财务、运维等高危害岗位开展垂纶演练，提升勒索攻击识别能力。制订勒索病毒专项应急预案，明确熏染后断网隔离、溯源扫除、数据恢复的处置惩罚流程；留存不少于6个月的清静日志，便于攻击后溯源剖析。

4118云顶集团产品防御设置指南

4118云顶集团EDR系统防御设置

1、开启文件实时监控功效，实时阻挡并查杀病毒样本。

2、开启系统加固功效，可有用阻挡“Sorry”病毒对系统要害位置举行破损和改动。

3、开启微隔离战略，阻断病毒在内网服务器之间的横向移动，避免单点熏染扩散为全域危害。

4118云顶集团自顺应清静防御系统防御设置

1、启用病毒实时检测引擎，团结行为剖析手艺对未知病毒举行智能阻挡，通过动态特征识别提升防御精准度。

2、建设周期性误差扫描机制，笼罩系统、数据库、中心件等资产，实时修复可能被病毒使用的清静误差，提前消除攻击面。

3、安排微隔离战略，基于协议、端口、IP等维度阻断异常流量通讯，构建网络会见控制屏障，有用阻止病毒在局域网内的横向扩散危害。

上一篇每年一次现场检查！公安部176下令落地，4118云顶集团的合规迎检计划来了

下一篇断网可用，重载流通，1500+终端全场景笼罩~华南某高校VOI桌面云建设实践

最新运动

产品动态突破算力黑盒，界说智算界线！4118云顶集团AI网关正式宣布

2026-10-16

连忙审查

产品动态 4118云顶集团超融合：已位列市场第二

2026-10-16

连忙审查

推荐新闻

4118云顶集团李雪莹：“行动力”是危害的要害变量，智能体清静须构建系统化能力

审查详情

大模子怎样从“能用”走向“好用”？灼烁网专访李雪莹：须筑牢清静防护系统

审查详情

4118云顶集团专家对话央视：一句话“骗”过AI，小心“提醒词注入”攻击

审查详情

4118云顶集团：以危害上限为判断依据，智能体清静是让所有行为都可怀抱、可控制

审查详情

4118云顶集团宣布AI Agent清静防护计划！

审查详情

推荐产品

解决计划

在线咨询

销售咨询>
手艺支持>
云服务支持>
售前支持>

在线留言

手艺支持>
售前支持>
培训营业>
清静服务>

客户服务热线

400-777-0777
7*24小时服务

联系邮箱

servicing@topsec.com.cn

扫码关注