天融信深度解析：Sorry勒索病毒逆向分析与防护指南

前言

近日，国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室发布预警报告，指出我国境内发现多起我国用户遭“Sorry”勒索病毒攻击事件。用户重要文件被加密后文件名被更改为原文件名+“.sorry”后缀字符串，同时，攻击者会在用户主机上留下勒索信，要求用户下载加密通信工具与其联系。

与此同时，天融信也监测到针对Linux服务器环境的定向勒索攻击持续高发，Go语言编写的勒索样本具备跨平台攻击能力，攻击目标覆盖主流Linux发行版及信创系统，重点侵袭中小企业官网服务器、Web业务系统、财务ERP服务器、云主机等公网暴露资产。

与传统勒索病毒相比，“Sorry”家族病毒隐蔽性更强，强混淆对抗且具有高并发执行的特性，常利用公开漏洞批量扫描投放，攻击链路短、扩散速度快，短时间内即可造成大范围业务中断，逐渐成为攻击者入侵企业内网的主流载荷。经验证，天融信EDR、自适应安全防御系统均可精确检测并查杀该病毒，通过全面的安全保护，有效阻止该事件蔓延。

近期，天融信阿尔法实验室捕获到一款“Sorry”勒索病毒变种，该样本经过Garble混淆处理，符号破坏率超99%，具备SSH自动化横向移动、混合加密、反响应清理、Tor隐蔽通信等完整攻击能力，对内网服务器集群威胁极大。

病毒分析

向下滑动查看所有内容

一、样本概述

天融信阿尔法实验室分析，该样本为64位Linux ELF可执行文件，采用Go语言开发并经过Garble混淆处理，函数名被批量混淆，仅极少部分保留原始符号，大幅提升了逆向分析与特征检测的门槛。

通过功能模块拆解，认为其为针对企业Linux服务器的成熟勒索病毒，具备四大核心能力模块：

1. 文件加密能力：对匹配白名单扩展名的文件采用AES-256-GCM流式加密，密钥由内嵌RSA-2048主公钥包裹，加密后追加.sorry后缀并随机覆写源文件，破坏数据恢复路径；

2. SSH横向移动能力：扫描内网SSH服务，基于弱口令字典开展凭据爆破，成功后通过SFTP上传载荷并以nohup方式后台持久化；

3. 反响应清理能力：主动停止SSH服务、强制终止常见数据库进程，阻断运维救援通道；

4. 隐蔽C2通信能力：通过Tor隐藏服务回连，用于回传感染状态/接收后续指令。提供qTox离线协商入口，无内置支付地址，采用“人工协商”型勒索运营模式。

二、攻击执行全流程还原

基于函数调用关系与逻辑分支，梳理样本具有「进程初始化-文件加密链-SSH横向移动-C2通信」四条核心执行主线，整体流程如下：

Sorry勒索病毒整体执行流程

样本启动后，首先完成运行时初始化与单实例锁校验，随后优先执行反响应操作切断救援通道；加载内嵌RSA公钥后，通过任务调度器并行分发三大任务：对内网SSH服务开展扫描爆破、对本地文件按目录遍历加密、通过Tor网络回连C2服务。SSH爆破成功的主机将被投递相同载荷，重复完整攻击流程，实现内网自动化扩散。

三、深度逆向分析

3.1 主调度入口

通过Go语言运行时特征定位，确认样本主调度函数main.main位于地址0x6142A0。函数首先解析命令行flag参数，随后调用sub_5C4E20基于flock机制获取单实例锁，避免多实例并发造成文件损坏与行为暴露。

锁获取成功后，样本按固定顺序执行攻击调度：停止SSH服务（sub_5C2F80）→终止数据库进程（sub_5C4640/sub_5C4A40）→读取内嵌RSA公钥（sub_5C0140）→任务链分发（sub_5C21E0，拆分加密/横向移动/C2三大分支）→进入主循环（sub_5C4FA0）。

主调度调用链

3.2 反响应与清理机制

样本在正式加密前先执行反响应操作，核心目的是切断运维人员远程登录通道、抢占被加密文件独占权限、降低被应急处置的概率，天融信阿尔法实验室还原了两路核心清理逻辑：

（1）停止SSH服务

函数sub_5C2F80通过/bin/bash与/bin/sh两路Shell，分别执行4条停止命令，覆盖不同Linux发行版的服务管理方式，确保SSH服务被强制终止：

? systemctl stop sshd

? service ssh stop

? systemctl stop ssh

? service sshd stop

停止SSH服务实现逻辑

（2）终止数据库进程

函数sub_5C4A40通过pkill-9批量强制终止常见数据库进程，释放数据库文件的句柄占用，确保加密可正常执行。

终止数据库进程实现逻辑

3.3 文件加密链路深度拆解

文件加密是样本的核心功能，天融信阿尔法实验室逐个函数还原了从密钥生成、密钥包裹、文件头构造到流式加密的完整链路，其加密设计严谨，符合当代勒索软件的标准技术范式。

3.3.1 每文件独立密钥生成

函数sub_5BE8C0调用Go标准库crypto/rand，为每个待加密文件生成独立的32字节AES-256会话密钥。密钥仅在内存中短暂存在，随即被RSA加密后写入文件头，原始密钥全程不落盘，避免通过内存dump之外的方式窃取密钥。

AES-256密钥生成实现

3.3.2 RSA-2048分块加密

函数sub_5C2500采用RSA-2048 PKCS#1 v1.5标准对会话密钥做分块加密：先通过_BitScanReverse64计算输入位长，推导每块可用明文长度为245字节，再通过循环逐块调用RSA加密原语函数sub_520000，最终将32字节AES密钥连同20字节辅助数据（aux）包裹为256字节密文块。

RSA-2048PKCS#1v1.5分块加密实现

3.3.3 文件头构造

函数sub_5BFBE0完成加密文件头的拼装，采用固定格式的结构化设计，文件头总长288字节（0x120），解密器可通过魔数与固定长度快速定位密文流起点；其中head1仅保留20字节原始文件名，既参与完整性校验，又避免过长路径信息泄露。

文件头构造：head1截断与魔数写入

文件头构造：RSA包裹与大端长度写入

3.3.4 AES-256-GCM流式加密

文件正文以64KB为单位分块加密，采用AES-256-GCM认证加密算法。每块的nonce由4字节零前缀+8字节大端块序号构成，块计数器从0开始递增。GCM模式同时提供机密性与完整性校验，块级校验失败会中断加密，属于典型的“完整性优先”设计，若无对应解密器，仅凭密文无法恢复原始文件。

3.4 防恢复覆写机制

加密完成后，样本通过sub_5BEF20对源文件执行随机覆写，破坏残留明文以提升数据恢复难度：以O_WRONLY模式打开原文件，按64KB分块用crypto/rand生成的随机数据填充缓冲区并写入；源文件小于10MB时覆写1MB，大于等于10MB时覆写5MB，最后调用os.File.Sync（地址0x5BF232）强制落盘，确保文件系统缓存写入磁盘。

源文件随机覆写实现

3.5 SSH横向移动与持久化

内网自动化横向是该样本的核心传播能力，也是其能快速扩散的关键，天融信阿尔法实验室完整还原了“扫描-爆破-投递-持久化”全链路。

3.5.1 服务扫描

函数sub_60A540按目标层级对内网网段开展SSH服务扫描，日志标记包含[+] Scanning…、[+] Found%s、[+] Scancomplete，命中存活SSH服务后调用sub_60A820加入爆破分发队列。

SSH服务扫描实现

3.5.2 凭据爆破

函数sub_60ABE0为爆破调度器，内置弱口令字典（包含user@123、1234、2024–2026等常见弱口令），在循环内并发发起登录尝试，爆破成功后通过channel上报，并进入登录执行函数sub_60B040。

凭据爆破调度实现

3.5.3 投递与持久化

登录成功后的载荷投递逻辑位于sub_60F7A0，从反汇编中提取了完整的执行步骤：

1.通过SFTP将自身载荷上传至远端主机/tmp/.sorry_<8位随机字符>路径；

2.执行chmod+x赋予可执行权限；

3.通过nohup%v>/tmp/.sorry_%v.log2>&1&命令后台启动，实现进程常驻，设置30秒超时；

4.新失陷主机重复完整攻击流程，实现内网级联扩散。

反汇编中可提取三处关键日志字符串：

? 密钥登录成功：[+] SUCCESS%s:%d  user=%s  key=%s（地址0x60f8af）

? 口令登录成功：[+] SUCCESS%s:%d  user=%s  pass=%s（地址0x60f9aa）

? 本地载荷缺失：localFile is not exist（地址0x60fa22）

投递与持久化指令序列

3.6 目录遍历策略

函数sub_60FF00调用path/filepath.Walk对目标目录按层级并发遍历，命中扩展名白名单（共84类，对应函数sub_611040）的文件进入加密链路。

遍历过程采用按层统计策略，日志标记包含layer%dfinished:file=%d,skip_file=%d、total_dir=%d,total_skip_dir=%d、total_file=%d/%d，便于攻击者掌控加密进度。

目录遍历与层级统计实现

3.7 C2通信与勒索信设计

3.7.1 Tor隐藏服务C2通信

样本C2地址为phertelnetlisten.onion（数据引用地址0x68D13A）。函数sub_539FE0对C2域名做合法性校验：检测末尾点、限制长度≤254、按点拆分域名，并调用sub_539F40判定是否为.onion域名。

C2域名解析与合法性校验实现

样本在失陷主机上通过Tor匿名网络回连该服务，用于回传感染状态/接收后续指令。它与勒索信中的TOX ID（赎金人工协商渠道）是两条相互独立的通道——onion地址走Tor控制通道，TOX ID走qTox加密聊天。

3.7.2 人工协商模式勒索信

样本在每个加密目录写入README.md勒索信，内容包含TOX ID与RSA公钥。该样本未内置加密货币支付地址与自动化解密入口，要求受害者安装qTox工具添加指定TOX ID联系攻击者，采用纯人工协商的运营模式，进一步提升追踪难度。

勒索信内容

防护建议

面对“Sorry”等各类勒索病毒的常态化攻击，企业可从多维度构建基础防护体系，前置化解风险：

1、收敛网络边界，做好内网分区

全面梳理公网暴露资产，关停非必要端口与服务，严禁SSH、RDP、SMB、数据库等高危管理端口直接映射公网。按业务域对内网进行逻辑隔离，限制跨区域默认访问，避免单点感染快速扩散全网。

2、加固系统权限，及时修复漏洞

建立常态化漏洞巡检机制，高危漏洞72小时内完成补丁修复。遵循最小权限原则，配置高强度密码并定期更换；关闭不必要的文件共享，禁用SMBv1等老旧高危协议，持续收敛攻击面。

3、落实数据备份，验证恢复能力

核心数据保留多介质副本，备份环境与生产网络隔离。核心业务配置“定时增量+ 周期全量”备份策略，定期开展恢复演练，确保攻击后可快速通过备份恢复业务。

4、严控入口渠道，阻断传播路径

部署邮件安全网关，拦截钓鱼邮件与带毒附件，对外来邮件统一添加外部标识。严禁下载运行来源不明的软件、脚本与破解工具；外接存储设备跨设备使用前，必须先进行病毒查杀，避免物理摆渡传播风险。

5、强化安全意识，完善应急机制

定期开展全员安全培训，针对财务、运维等高风险岗位开展钓鱼演练，提升勒索攻击识别能力。制定勒索病毒专项应急预案，明确感染后断网隔离、溯源清除、数据恢复的处置流程；留存不少于6个月的安全日志，便于攻击后溯源分析。

天融信产品防御配置指南

天融信EDR系统防御配置

1、开启文件实时监控功能，实时拦截并查杀病毒样本。

2、开启系统加固功能，可有效拦截“Sorry”病毒对系统关键位置进行破坏和篡改。

3、开启微隔离策略，阻断病毒在内网服务器之间的横向移动，防止单点感染扩散为全域风险。

天融信自适应安全防御系统防御配置

1、启用病毒实时检测引擎，结合行为分析技术对未知病毒进行智能拦截，通过动态特征识别提升防御精准度。

2、建立周期性漏洞扫描机制，覆盖系统、数据库、中间件等资产，及时修复可能被病毒利用的安全漏洞，提前消除攻击面。

3、部署微隔离策略，基于协议、端口、IP等维度阻断异常流量通信，构建网络访问控制屏障，有效遏制病毒在局域网内的横向扩散风险。

近期热点

Hugging Face遭入侵并非纯AI自主，天融信对话央视：大模型安全应同步建设

九维透视、39项检查、三大主流智能体专项检测，天融信AI智能体安全评估服务正式发布！

全国首批、级别最高！天融信获AI服务安全能力评定“建设+检测”双证

天融信智算云重磅升级：兼顾通用业务与AI创新，三大技术突破构建一体化算力底座

第十一届（2026年）全国高校密码数学挑战赛总决赛晋级名单重磅揭晓！

关注天融信了解更多信息