1. 勒索病毒新变种“.sorry”攻击态势分析
近期安全圈内监测到TellYouThePass勒索病毒家族出现高危变种，其加密文件后会附加".sorry"后缀。与早期版本相比，该变种呈现出三个显著特征：
- 采用RSA-2048+ChaCha20混合加密算法，解密难度大幅提升
- 攻击链中新增CVE-2023-32456漏洞利用模块（针对Java Web应用）
- 勒索信模板植入财务术语（如"账期清算"、"凭证锁定"等）
根据威胁情报平台数据，过去72小时内已有23家企业的财务系统遭受攻击，主要分布在制造业（38%）、零售业（29%）和物流行业（21%）。攻击者明显针对以下财务场景：
- 用友/金蝶等财务软件数据库
- 电子发票存证服务器
- 银企直连中间件
关键发现：病毒会优先扫描财务系统备份目录（如/backup/finance/）并删除卷影副本，同时终止以下进程：kisadmin.exe、KFOX.exe、AisinoERP.exe
2. 攻击技术深度解析
2.1 初始入侵向量
攻击者主要通过三种途径渗透：
- 钓鱼邮件：伪装成"2023年度税务稽查通知.zip"的恶意附件，内含伪装成PDF的JS脚本
- 漏洞利用：针对财务系统常见组件的已知漏洞：
- 用友GRP-U8 SQL注入（CNVD-2023-21500）
- 金蝶云星空反序列化（CVE-2023-28432）
- 弱口令爆破：针对财务系统常用默认口令（如admin/123456）
2.2 文件加密机制
病毒采用两阶段加密策略：
# 阶段1：生成临时密钥 temp_key = os.urandom(32) # ChaCha20密钥 iv = os.urandom(12) # 初始化向量 # 阶段2：非对称加密 with open("RSA_public.pem") as f: pub_key = RSA.importKey(f.read()) cipher = PKCS1_OAEP.new(pub_key) encrypted_key = cipher.encrypt(temp_key)加密完成后会修改文件结构：
- 原始文件内容用ChaCha20加密
- 追加256字节的RSA加密密钥头
- 重命名为[原文件名].id[随机8位].sorry
3. 企业防护实战方案
3.1 紧急处置措施
若发现感染迹象，立即执行：
网络隔离：
- 断开财务VLAN与核心网络的连接
- 禁用802.1X认证防止横向移动
进程终止：
taskkill /f /im wscript.exe taskkill /f /im mshta.exe- 备份保护：
- 物理断开备份存储设备
- 检查VSS服务状态（vssadmin list shadows）
3.2 防御体系加固建议
构建财务系统专项防护策略：
| 防护层 | 具体措施 | 财务系统特殊配置 |
|---|---|---|
| 边界防护 | 限制1433/3306端口入站 | 银企直连IP白名单 |
| 应用防护 | 安装内存保护模块 | 禁用财务软件宏功能 |
| 数据防护 | 启用FIM文件监控 | 重点监控*.mdf/*.ldf文件 |
关键配置示例（Windows组策略）：
路径：计算机配置\策略\Windows设置\安全设置\软件限制策略 规则类型：哈希规则 限制对象：wscript.exe、cscript.exe 安全级别：不允许4. 事件响应与数据恢复
4.1 解密可能性评估
当前该变种存在以下技术特征：
- 使用C2服务器下发的临时RSA私钥
- 密钥有效期仅72小时（超过后自动销毁）
- 暂未发现加密算法实现漏洞
企业可尝试以下恢复途径：
- 勒索谈判：通过TOR访问攻击者支付门户（需注意法律风险）
- 备份恢复：检查未被删除的VSS副本（需使用专业工具如ShadowExplorer）
- 数据修复：针对特定文件类型尝试头部修复（如SQL数据库DBCC CHECKDB）
4.2 取证关键步骤
- 提取内存镜像（使用Volatility工具）
vol.py -f memory.dump malfind --output=json- 分析加密日志（通常位于%AppData%\Microsoft\Crypto\）
- 检查计划任务残留（重点关注每日03:00执行的异常任务）
我在处理某制造业客户案例时发现，病毒会修改财务软件的日志清理任务，将原本的日志删除改为执行加密流程。建议重点检查以下注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\5. 长期防护架构建议
构建财务系统"三纵三横"防护体系：
纵向防护： 1. 网络层：财务专网物理隔离 2. 主机层：专用EDR策略组 3. 应用层：API调用白名单 横向防护： 1. 权限管控：财务角色最小权限 2. 行为审计：资金操作双人复核 3. 数据流转：敏感字段动态脱敏实施过程中需特别注意：
- 财务软件补丁需在月末结账后测试安装
- 银企直连证书应存储在HSM硬件设备中
- 电子发票验真接口需配置访问频次限制
某零售企业通过部署内存RASP防护模块，成功阻断了一次针对其SAP财务模块的加密尝试。其配置要点包括：
- 监控关键API调用（如CryptEncrypt）
- 拦截异常证书操作（如CryptoAPI劫持）
- 限制脚本引擎加载财务组件
