【勒索预警】关于“Sorry”勒索病毒，你想知道的都在这里

前言 最近几天，“Sorry”勒索病毒的关注度明显有所提升。各大媒体平台陆续发布了相关的防范文章和科普视频，也有不少读者与客户向我们留言，问什么的都有：它是不是一个新家族、是不是只针对某一类操作系统、中了之后还能不能恢复。 防范知识的集中普及，对整个行业来说始终是好事。不过我们也注意到，这一轮讨论中有不少结论，与我们在一线处置中掌握的情况存在一些出入。有些出入不影响防护建议本身，有些则可能导致误判，比如把防护重心放错了方向。 从今年 3 月到现在，Solar 应急响应团队对这一威胁保持了持续跟踪，先后发布了首期预警、攻击路径复盘、零设备环境下的极限溯源拆解，以及管家婆 0day 攻击链分析等多篇文章，也处置了相当数量的真实案例。基于此，我们整理了近期最常被问到的七个问题，做一次集中解答。文中所有结论均来自我们的实战处置记录与样本分析，观点仅供大家参考，也欢迎同行交流指正。 TellYouThePass（.sorry）勒索病毒半年活跃时间线与 Solar 应急响应团队跟踪记录 一、为什么把它归为 TellYouThePass 家族，而不是一个新家族？ 关于家族归类，业内存在不同看法是正常的。勒索家族的判定本身就是一个依赖证据链的工作，不同机构掌握的样本和案例不同，得出不同的阶段性结论并不奇怪。这里我们只陈述自己的归类依据和流程。 今年 3 到 4 月，我们陆续接到大量 .sorry 勒索事件的求助。按照内部 SOP，在捕获勒索信和加密器之后，第一件事就是与病毒库中已入库的其他勒索家族进行要素比对。比对结果显示，本轮样本与 2024 年该家族活跃期的样本在多个关键要素上高度吻合： // 2024年该家族勒索信示例 send 0.08btc to my address:xxxxxx83nd4keeegrumtnu8kup8g02xxxxxxxx. contact email:service@helloworldtom.online, if you can't contact my email, please contact some data recovery company(suggest taobao.com), may they can contact to me .your id: ATNPERSONID // 2026年该家族勒索信示例 Please contact us through the qtox tool Download qtox https://github.com/qTox/qTox/blob/master/README.md#qtox If you can't contact us, please contact some data recovery company(suggest taobao.com), may they can contact to us. Add our TOX ID and send an encrypted file and 'Sorry-ID' for testing decryption. Our TOX ID: XXXXXXXXXXXXXXXXXXXXXXXXXXX5A6D486B83706F1602B2XXXXXXXXXXXXXXXXXXXXXXXXXXX 2024 年该家族针对财务人员的钓鱼勒索攻击，我们在当时就做过详细披露（【勒索预警】关于“Sorry”勒索病毒，你想知道的都在这里 ），感兴趣的读者可以对比阅读。综合上述证据，按照正常流程，我们将本轮 .sorry 样本归类至 TellYouThePass 家族。 这里也顺便说明一下我们的完整归类规则，供大家参考：如果出现的是全新后缀，且勒索信、加密器、暗网地址等要素与公开勒索病毒统计平台及我方病毒库均无法比对，我们会在严谨核对和内部商讨后先暂定为新家族；后续跟踪中一旦发现与其他家族存在共性，再视情况进行关联或合并。比如 Karma 家族，初期按新家族收录，但在深度研判其后续行为后，我们将其与 SpaceBears 家族进行关联，并确认了二者公开的合作关系（详情阅读文章：【勒索预警】关于“Sorry”勒索病毒，你想知道的都在这里 ）。 二、“Sorry”勒索病毒只攻击 Linux 系统吗？ 并非如此。在展开之前，需要先理清一个基本常识： 操作系统只是承载业务的平台，勒索病毒真正利用的，是运行在这些平台之上的业务系统与组件漏洞。 回顾我们半年来的跟踪记录，这个判断会更清楚： 3 至 4 月 ：.sorry 变种刚在国内出现时，攻击入口几乎是护网期间流出的 Nday 漏洞，目标集中在 Windows 平台的财务类软件，属于典型的“捡漏”打法； 4 至 5 月 ：大量部署了遗留老版本远程应用交付系统（金万维异速联）的 Windows 服务器被打，入口是弱口令与缺失风控的认证接口； 4 月底至 5 月 ：cPanel 授权绕过漏洞（CVE-2026-41940）爆发。由于 cPanel 几乎只运行在 Linux 环境，这一轮攻击的受害面自然集中在 Linux 服务器，且规模极大，公开监测数据显示全球约 4.4 万台服务器 IP 受到影响。这一轮全球关注，也正是“它只攻击 Linux”这一印象的主要来源； 6 至 7 月 ：管家婆系列产品 211 端口 0day 被武器化，受害目标又回到 Windows 平台。 在搜索引擎中检索 cPanel 漏洞相关事件，可看到 5 月前后全球范围内的大量报道 可以看到，5 月那波针对 Linux 的大规模攻击，本质上是“cPanel 这个应用恰好运行在 Linux 上”，而不是“这个病毒专门攻击 Linux”。事实上，各方公开分析中也能看到该家族存在 Windows 与 Linux 跨平台受害案例的记录。攻击 Windows 还是 Linux，从来不取决于攻击者的平台偏好，而取决于业务跑在哪里、服务有没有漏洞。 对企业而言，这个问题的实际意义在于： 如果你的服务器是 Windows，不代表你可以置身事外；如果是 Linux，也不代表补一个 cPanel 就万事大吉。 排查的重点应该是“哪些业务组件存在可利用的漏洞”，而不是“我用的什么操作系统”。 三、它是不是专挑有钱的行业下手？ 不是，请不要抱有侥幸心理。 根据长期跟踪，该家族在确认漏洞可用之后，会在极短时间内完成武器化，随后对全网资产进行探测和批量利用。它要的是速度和数量，而不是精挑细选的目标画像。从我们处置和公开渠道汇总的案例来看，受害单位覆盖制造、商贸、物流、科技、医疗、教育等多个行业，几乎不区分行业属性，也不区分企业规模。只要业务系统存在漏洞且暴露在互联网上，就存在被勒索的风险。 这一点与近年来 Weaxor 家族的攻击行径高度一致：同样是快速武器化、同样是无差别批量攻击、同样以量取胜。Weaxor 今年常见的加密扩展名包括 .weax、.wxr 等，均可在 应急响应.com 查询。两个家族甚至在同一时期使用了同一个管家婆 0day 漏洞发起攻击，攻击路径高度重合，具体情况我们在管家婆案例中做过完整拆解（【全网首发】Weax与Sorry勒索病毒席卷全国中小企业，深度还原全链路攻击，疑似黑客利