国内发现多起“Sorry”勒索病毒攻击 新病毒家族威胁Linux服务器

近日，国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室在我国境内发现多起用户遭“Sorry”勒索病毒攻击事件。用户的重要文件被加密后，文件名会被更改为原文件名加上“.sorry”后缀，攻击者还会在用户主机上留下勒索信，要求用户下载加密通信工具与其联系。

该病毒属于2026年新出现的勒索病毒家族“Sorry”，由攻击者使用GO语言编写，主要针对互联网暴露的Linux Web服务器。攻击者利用WebPros cPanel授权问题漏洞（漏洞编号：CNNVD-202604-5641，CVE-2026-41940）获取服务器管理权限，随后在受害者无感知的情况下投放并运行“Sorry”勒索病毒实施攻击，并伪装成常见的sshd进程。

勒索病毒会生成一个唯一的受害者标识符，包含当前用户名、主机名、CPU数量、操作系统信息、活跃的网络接口等信息，并将这些信息回传给攻击者。接着，病毒会终止数据库、安全防护及备份等相关服务，批量窃取业务数据、配置文件及各类内部文件。然后，病毒使用AES算法对用户文件进行加密，导致业务系统中断、重要数据无法访问，并使用RSA加密算法对AES解密密钥进行双重加密。最后，病毒扫描SSH端口22、2222、22222，通过弱密码尝试向其他Linux主机横向传播。

国家计算机病毒应急处理中心提示，该勒索病毒可在国内大部分主流Linux发行版操作系统（含信创操作系统）上运行并实施侵害。一旦感染该勒索病毒，可能对企业和个人造成严重的数据泄露、破坏和声誉损失。该勒索病毒具有主动传播能力，可能造成企业内网大面积感染。在没有解密密钥的条件下，被该勒索病毒加密的数据暂时没有可靠的恢复方法。