山石安全能力中心｜山石网科Sorry勒索病毒紧急防护通告

山石网科多产品纵深联动

实现攻击全链路检测与处置

1. 威胁概述

2026年8月10日，国家计算机病毒应急处理中心发布预警，国内多地监测到Sorry新型Linux勒索软件攻击事件。该勒索家族采用Go语言开发，经garble混淆编译生成静态ELF64恶意样本，主要针对互联网暴露的Linux Web服务器，同时兼容主流信创操作系统。

攻击者利用CVE-2026-41940（cPanel授权绕过漏洞）实现初始入侵，投放恶意ELF样本；样本执行后完成环境探测、关停数据库与安全服务、数据窃取、文件加密等操作，加密文件后缀追加“.sorry”，采用AESGCM对文件加密、RSA2048保护会话AES密钥的多重加密机制，目前无公开可靠解密手段。

该勒索软件具备蠕虫式内网横向传播能力，主动扫描内网22、2222、22222端口，内置大量用户名与弱口令字典，通过SSH暴力破解，利用SFTP投递自身ELF副本，执行“chmod +x”与“nohup”完成主机感染扩散，极易造成内网批量沦陷；该勒索软件会在受害主机中生成标记文件“.sorry_exist”，同时释放勒索信，诱导受害者通过qTox工具联系攻击者和交付赎金。勒索信息原文如下：

2.攻击链分析

• 初始访问：利用CVE-2026-41940 cPanel授权绕过漏洞，构造恶意HTTP请求实现会话伪造，绕过身份校验，突破目标系统边界，实现未授权访问。

• 权限提升：通过该漏洞获取服务器管理员权限，上传并执行ELF恶意样本，恶意进程伪装为sshd进程，以此规避运维人员排查。

• 环境探测：采集主机用户名、主机名、CPU、操作系统、网络接口信息等，生成受害者唯一ID，回传攻击者C2服务器。

• 清除障碍：调用systemctl/mysql等命令停止mysql、redis、mongod、postgresql、sshd等数据库与运维服务，规避加密过程中文件占用。

• 数据窃取：遍历磁盘，窃取业务文档、配置、数据库文件，回传服务器。

• 本地加密：排除/boot、/proc、/sys等系统目录，对400余种业务文件执行AESGCM加密，后缀修改为`.sorry`，落地勒索信。

• 横向扩散：对内网网段进行SSH端口扫描，弱口令爆破，爆破成功后通过SFTP上传自身ELF，远程执行实现横向感染。

3.防护建议

3.1 紧急处置措施

• 立即隔离感染主机：断开网络连接，防止蠕虫进一步扩散。

• 排查SSH安全：检查authorized_keys是否被添加恶意密钥，排查弱口令账号。

• 备份勒索信与标识文件：保留.sorry_exist、sorry_id文件与勒索信内容，用于后续追踪与谈判分析。

• 阻断C2通信：在防火墙上封锁攻击者C2节点，重点监控出站80端口流量。

• 恢复数据：该勒索暂无公开解密工具，在未支付赎金前提下，优先依靠离线备份恢复业务。

3.2 长期防护措施

• 漏洞排查与修复：对暴露在互联网的cPanel、WHM、WP Squared服务及相关Linux服务器进行漏洞风险排查，及时升级至厂商发布的最新版本。

• 收敛暴露面：避免服务器管理后台、远程运维接口和数据库管理端口直接暴露在互联网。如需远程管理，应通过虚拟专用网络、运维堡垒机或专用管理网络进行访问，并设置源地址白名单、多因素认证、异常访问告警等安全措施。

• 强化口令管理：做好口令安全管理，避免使用弱口令，避免大量主机使用相同用户名和口令。建议使用SSH密钥认证替代密码认证。

• 加强Linux服务器安全防护：为Linux Web服务器部署WAF与主机防火墙，对Web管理接口做好防护，拦截漏洞利用、恶意文件上传等攻击行为；同时开展主机行为监控，重点监测异常服务终止、未知程序后台启动、异常文件上传等高风险行为，及时识别主机侧威胁迹象。

• 备份策略：建立离线、物理隔离备份机制，定期备份业务数据，备份介质不与业务主机长期在线连通。

4.山石网科全链路防护能力

• 山石网科防火墙边界IPS漏洞检测，阻断初始入侵入口

攻击者利用CVE‑2026‑41940 cPanel授权绕过漏洞作为主要入侵突破口。山石网科NGFW边界IPS模块可依托专属漏洞检测规则库与实时更新的漏洞威胁情报，针对漏洞利用流量开展深度解析，精准识别攻击特征。一旦捕获漏洞利用行为，IPS可执行阻断、重置会话等处置动作，拦截攻击者非法获取管理员权限的攻击企图。

• 云·影沙箱，识别混淆ELF恶意样本

山石云沙箱支持对ELF文件进行分析，通过静态特征检测识别Go二进制文件与garble混淆特征，通过Sorry勒索家族的专用YARA规则精准匹配相关样本。

• 山石云·瞻威胁情报库与防火墙设备快速联动，阻断C2通信行为

恶意样本执行后会主动与C2服务器建立通信链路，回传主机指纹信息、窃取敏感数据，并接收攻击者下发的控制指令。山石云・瞻威胁情报可与边界防火墙高效联动，基于C2 IOC情报实施访问过滤，直接阻断内网主机与恶意C2节点的通信。山石情报检测IOC结果示例如下：

• 山石智感BDS防护SSH暴力破解

Sorry勒索软件主要依靠SSH弱口令爆破实现内网横向感染。山石智感BDS内网威胁感知系统通过旁路镜像内网流量，针对SSH横向移动行为提供多维度检测能力：如基于访问行为基线，识别同一客户端IP短时间内针对单台或多台服务器产生的批量登录异常，精准判定SSH暴力破解攻击。同时支持与边界防火墙联动处置，BDS可快速联动山石NGFW自动将受感染主机IP加入黑名单，阻断该主机对内网其余服务器的扫描爆破流量，有效遏制蠕虫在内网的进一步蔓延扩散。

5.总结

从本次Sorry勒索攻击事件不难看出，勒索软件已呈现多平台扩散趋势，攻击技术愈发成熟复杂，给企业服务器防护与内网安全建设带来巨大考验。

面对这类新型勒索威胁，单一防护手段已难以抵御。山石网科凭借边界防御、终端管理、沙箱分析、威胁情报、内网感知协同等产品的纵深联动，实现攻击全链路检测与处置。

而通过此次事件，企业也应构建自身完整的风险防御体系，强化漏洞运维、收紧访问权限，落实离线备份机制，全面提升对抗勒索攻击的综合防护水平。

参考IOC

MD5：01896fbb58e8edefc5a8392e467c2260

Sha256:2fc0a056fd4eff5d31d06c103af3298d711f33dbcd5d122cae30b571ac511e5a

C2服务器地址：68.183.190.253:80

Sorry勒索软件ATT&CK技术映射表

https://www.cverc.org.cn/head/zhaiyao/news20260810-Sorry.htm

https://www.threatlocker.com/blog/sorry-ransomware-exploits-cpanel-authentication-bypass

https://support.cpanel.net/hc/en-us/articles/40073787579671-Security-CVE-2026-41940-cPanel-WHM-WP2-Security-Update-04-28-2026

山石网科是中国网络安全行业的技术创新领导厂商，由一批知名网络安全技术骨干于2007年创立，并以首批网络安全企业的身份，于2019年9月登陆科创板（股票简称：山石网科，股票代码：688030）。

现阶段，山石网科掌握30项自主研发核心技术，申请540多项国内外专利。山石网科于2019年起，积极布局信创领域，致力于推动国内信息技术创新，并于2021年正式启动安全芯片战略。2023年进行自研ASIC安全芯片的技术研发，旨在通过自主创新，为用户提供更高效、更安全的网络安全保障。目前，山石网科已形成了具备“全息、量化、智能、协同”四大技术特点的涉及基础设施安全、云安全、数据安全、应用安全、安全运营、工业互联网安全、信息技术应用创新、AI安全、安全服务、安全教育等10大类产品及服务，50余个行业和场景的完整解决方案。