# Sorry勒索病毒技术分析：从漏洞利用到三重加密的完整攻击链

**URL:** <https://www.nodeloc.com/t/topic/104308>\
**Category:** 杂谈\
**Created:** [2026 年8 月 19 日 06:35 UTC](https://www.nodeloc.com/t/topic/104308 "2026-08-19T06:35:09Z")\
**Posts on this page:** 3\
**Page:** 1

<div class="post-metadata">

作者： ![Mike-Leone](https://www.nodeloc.com/user_avatar/www.nodeloc.com/mike-leone/32/56791_2.png) [@Mike-Leone](https://www.nodeloc.com/u/Mike-Leone)\
发布日期： [2026 年8 月 19 日 06:35 UTC](https://www.nodeloc.com/t/topic/104308/1 "2026-08-19T06:35:09Z")

</div>

# Sorry勒索病毒技术分析：从漏洞利用到三重加密的完整攻击链

## 前言

2026年3月以来，一种名为“Sorry”的新型勒索病毒家族在全球范围内迅速蔓延，我国已发现多起攻击事件，国家计算机病毒应急处理中心于8月10日发布了紧急预警报告。该病毒主要针对暴露在互联网上的Linux Web服务器，尤其是使用cPanel、WHM等托管控制面板的系统。

本文将从技术角度深度剖析Sorry勒索病毒的攻击链、加密算法实现及防御对策，帮助安全从业者理解这一威胁的完整面貌。

## 一、初始入侵：CVE-2026-41940漏洞利用

Sorry勒索病毒的攻击链路始于对cPanel&WHM身份认证绕过漏洞（CVE-2026-41940）的利用。该漏洞CVSS评分为 **9.8（高危）** ，影响范围涵盖cPanel&WHM 11.86至11.136多个版本，PoC已公开且在野利用已被确认。

### 漏洞技术细节

该漏洞源于cPanel登录流程中的会话加载与保存机制存在逻辑缺陷。攻击者通过 **Basic认证头在密码字段注入CRLF字符** ，并利用缺少ob（对象）部分的会话cookie避免密码编码，从而将恶意键值对写入原始会话文件。

完整的攻击利用分为四个阶段：

**Stage 1：获取预认证会话**  
攻击者向`/login/?login_only=1`发送任意用户名/密码请求，服务器会返回一个有效的`whostmgrsession` cookie，无需任何合法凭证即可获取会话。

**Stage 2：CRLF注入泄露令牌**  
构造特制的Authorization头（Base64编码的CRLF载荷），在Cookie中携带已获取的session base值。注入的payload包含：

```auto
user=root
hasroot=1
tfa_verified=1
cp_security_token=/cpsessXXXXXXXXXX

```

成功后可获取10位数字的WHM安全令牌（cpsess令牌）。

**Stage 3：触发会话状态转换**  
访问`/scripts2/listaccts`触发`do_token_denied`流程，将原始会话转换为缓存会话。即使返回HTTP 401，令牌仍对后续API调用有效。

**Stage 4：验证并执行**  
使用获取的令牌调用WHM API（如`/json-api/version`），即可获得root级别访问权限。攻击者可进一步通过Cron::add\_line API创建定时任务实现远程代码执行。

## 二、载荷投递与执行

获取服务器权限后，攻击者会静默投放并运行“Sorry”勒索病毒主程序。该病毒使用 **GO语言** 编写，伪装成常见的`sshd`进程以规避检测。载荷以MSI安装包形式封装，托管于攻击者控制的阿里云OSS存储桶中，利用合法云存储平台规避基于域名信誉的安全过滤机制。

## 三、攻击行为链深度分析

### 3.1 环境探测与信息收集

病毒运行后会生成一个 **唯一的受害者标识符** ，包含当前用户名、主机名、CPU数量、操作系统信息、活跃网络接口等信息，回传给攻击者服务器。同时计算基于设备环境特征的`host_hash`值，供攻击运营侧追踪管理受害主机。

### 3.2 扫清障碍

病毒会主动终止以下服务：

- **数据库服务** ：MSSQL、MySQL、Oracle、PostgreSQL等
- **安全防护服务** ：杀毒软件、EDR等
- **备份服务** ：防止数据恢复

这一操作的目的是释放被数据库进程持有的文件独占句柄，确保后续加密能够完整覆盖数据库文件。值得注意的是，多个分析报告均指出病毒 **唯一定向停止了MSSQL相关服务** ，表明其攻击目标对Windows服务器环境的针对性极强。

### 3.3 数据窃取（双重勒索）

在加密之前，病毒会 **批量窃取** 业务数据、配置文件及各类内部文件。这构成了双重勒索的基础——攻击者不仅加密数据，还以公开泄露数据相要挟，增加受害者支付赎金的压力。

### 3.4 文件加密算法分析

#### 三层混合加密架构

Sorry勒索病毒采用了 **高度复杂的多层密钥封装设计** ，具体实现为 **RSA+RSA+AES-GCM** 的算法组合方案。

加密流程如下：

1. **文件级AES密钥生成** ：对每个文件单独生成一个AES-GCM密钥和所需的Nonce/IV值
2. **现场RSA密钥对生成** ：调用RSA算法生成一对公私钥
3. **第一层加密** ：使用现场生成的RSA私钥加密AES-GCM密钥
4. **第二层封装** ：使用病毒内置的主RSA公钥加密现场生成的RSA私钥
5. **分块加密** ：原文件按 **1MB分块** ，逐块使用AES-GCM加密

#### 加密文件结构

最终加密完成的文件输出结构如下：

```auto
+------------------+
| Magic头部 | 1字节，固定值 0x11
+------------------+
| CHUNK长度值 | 4字节，大端顺序
+------------------+
| RSA封装块 | 前置4字节长度值 + 密文块
+------------------+
| CHUNK_CIPHER区 | 分块加密数据（每块1MB）
+------------------+
| 终止数据 | 4字节，固定 0x00填充
+------------------+

```

文件头部包含Magic值`0x99000008`，随后是RSA加密的AES密钥等元数据。分块加密方式使大文件加密更高效，也增加了部分恢复的难度。

#### 规避检测技术

病毒采用基于 **NTAPI直接调用系统操作** 的方式，绕过大多数安全软件的常规API调用监控，直接向系统内核发起请求，实现所谓的“盲区加密”。

#### 排除列表

为避免加密系统关键文件导致系统异常，病毒排除了以下路径和文件：

- **排除的目录** ：`\windows`、`\git\mingw64`、`\go\src`、`\java\jdk`、`\vmware\drivers`等
- **排除的文件** ：`thumbs.db`、`netuser.dat`、`autorun.inf`、`desktop.ini`、`pagefile.sys`、`.ds_store`、`.sorry`、`readme.md`

### 3.5 内网横向扩散

完成加密后，病毒会扫描内网 **SSH端口（22、2222、22222）** ，通过 **弱密码尝试** 向其他Linux主机横向传播。这一机制使其具备主动传播能力，可能导致企业内网大面积感染。

## 四、加密强度与恢复难度

该病毒采用的加密方案在数学上具有极高的破解难度：

- **AES-256-CTR/AES-GCM** 用于文件数据加密，每个文件使用独立密钥
- **RSA-2048** 用于密钥封装
- 分层密钥设计确保即使获取部分密钥也无法解密全部文件

**在没有攻击者私钥的情况下，被加密的数据目前没有可靠的恢复方法** 。网上所谓的“解密工具”大多是骗局，且攻击者提供的通信工具可能包含木马，切勿下载尝试。

## 五、防御策略建议

### 5.1 漏洞修复（优先级最高）

立即排查暴露在互联网上的cPanel、WHM、WP Squared服务，将相关软件升级至安全版本：

- cPanel&WHM 11.86.\* \>= 11.86.0.41
- cPanel&WHM 11.110.\* \>= 11.110.0.97
- cPanel&WHM 11.126.\* \>= 11.126.0.54
- WP Squared 11.136.\* \>= 11.136.1.7

### 5.2 网络层防护

**严禁** 将服务器管理端口（SSH、数据库等）直接暴露在互联网。确有远程管理需求时，应通过VPN、运维堡垒机或专用管理网络访问，并配置源地址白名单、多因素认证、异常访问告警。

### 5.3 口令安全管理

避免使用弱口令，避免大量主机使用相同用户名和口令。这是阻断病毒内网横向传播的关键。

### 5.4 离线备份（最后防线）

建立独立、可靠的数据备份和恢复机制，对网站文件、数据库、业务配置、源代码及重要日志进行定期备份， **备份数据应以离线方式妥善保存** 。在线备份同样可能被病毒加密，离线备份是唯一可靠的恢复手段。

### 5.5 应急响应

一旦发现异常文件加密或系统日志异常， **立即断开受感染设备的网络连接** ，防止病毒向内网扩散。可尝试内存取证，因Go语言垃圾回收机制，内存中可能残留未加密的密钥材料。

## 六、总结

Sorry勒索病毒代表了一次技术上的演进： **从高危漏洞利用（CVE-2026-41940）到自动化载荷投递，再到三层混合加密和主动内网扩散** ，形成了完整的工程化攻击链。其GO语言编写、进程伪装、NTAPI直接调用等特征，显著提升了检测难度。

对于大多数企业而言， **事前预防的价值远大于事后补救** 。及时修补漏洞、严格管理端口暴露、强化密码策略、建立离线备份机制，是抵御这类威胁最有效的手段。对于可疑文件，可上传至国家计算机病毒协同分析平台（[https://virus.cverc.org.cn](https://virus.cverc.org.cn)）进行安全性检测。

* * *

_参考来源：国家计算机病毒应急处理中心预警报告、360安全卫士、奇安信安全内参、亚信安全分析报告等_

---

<div class="post-metadata">

作者： ![alolorz](https://www.nodeloc.com/letter_avatar_proxy/v4/letter/a/7ba0ec/32.png) [@alolorz](https://www.nodeloc.com/u/alolorz)\
发布日期： [2026 年8 月 19 日 14:08 UTC](https://www.nodeloc.com/t/topic/104308/2 "2026-08-19T14:08:45Z")

</div>

什么鬼，到底是Windows病毒还是Linux病毒？哪来的NTAPI？

---

<div class="post-metadata">

作者： ![xiaoyi669](https://www.nodeloc.com/user_avatar/www.nodeloc.com/xiaoyi669/32/63122_2.png) [@xiaoyi669](https://www.nodeloc.com/u/xiaoyi669)\
发布日期： [2026 年8 月 19 日 14:14 UTC](https://www.nodeloc.com/t/topic/104308/3 "2026-08-19T14:14:08Z")

</div>

感谢分享，已经点赞