“Sorry”勒索病毒频发|这份防病毒内网横移扩散的精准指南，请查收！

发布时间：

2026-09-04 18:22

来源：

作者：

访问量：

⚠“Sorry”病毒来势汹汹，专盯SSH通道横向扩散，22、2222、22222端口成关键突破口→灯火+微隔离，从资产摸排到端口定向管控，再到失陷隔离，三步收敛攻击面，精准阻断勒索蔓延。🔥

近期，国家计算机病毒应急处理中心发布预警——一款名为“Sorry”的新型勒索病毒在国内多地频频作恶。

这个名字听起来甚至有些“礼貌”的病毒，实际上一点都不“客气”。它专门瞄准暴露在互联网上的Linux服务器，利用cPanel授权漏洞潜入，加密文件、窃取数据，然后通过扫描22、2222、22222这三个SSH端口，用弱密码向内网横向扩散。

据悉，“Sorry”病毒已对国内多个行业造成实际冲击，且重点瞄准防护能力相对薄弱、数据资产密集的中小企业。

一

为什么“Sorry”病毒在短时间内造成的破坏力如此大？

答案藏在它攻击链路的关键一环——内网横移。而它精准选定的扩散通道，恰恰是SSH。

作为Linux系统最核心的远程管理与运维通道，SSH服务广泛分布于企业海量的工作负载之上，是运维人员日常工作的“咽喉要道”。然而，在很多防护能力相对薄弱的企业内网中，SSH通道的真实安全现状却令人堪忧：22端口往往对所有内网IP毫无保留地敞开，密码强度参差不齐，甚至存在大量未修改的默认口令。

更有意思的是一个普遍存在的“伪安全”陷阱。很多运维人员知道多数自动化攻击会优先扫描默认端口，于是为了“安全”，试图将SSH修改为非常用端口以躲避探测。但在实际操作中，为了降低人工记忆成本，同时避开Linux系统中1024以下的特权端口及其他常见服务冲突，大家往往会习惯性地将其改为 2222 或 22222。这种掩耳盗铃式的“隐蔽式安全”，不仅无法提供实质防护，反而让这些特定的非标端口变成了黑客眼中的“新标准端口”。

“Sorry”病毒正是精准捏住了多数企业在SSH通道上“内部不设防”或“依赖伪安全”的软肋。它将其横向扩散的策略直接设定为：定向扫描内网的22、2222、22222端口，并配合弱密码爆破，向其他Linux主机强力蔓延。

这套战术就像是给勒索病毒递上了一把内网漫游的“万能钥匙”。在缺乏有效内部隔离的环境下，一旦某一台边缘服务器被攻陷，攻击者就能顺着这些敞开的通道，在一台又一台机器之间自由穿行。换句话说，只要有一台服务器失守，整个内网瞬间就会沦为勒索病毒肆意掠夺的“自助餐厅”。

二

基于微隔离三步法，防住“Sorry”病毒内网横移扩散

收敛端口暴露面，是切断勒索病毒横向传播链路最有效的技术手段。但在复杂的实战环境中，面对“Sorry”这类利用高频运维通道游走的病毒，传统的手段往往会陷入要么不管、要么误伤的困局。

蔷薇灵动在长期的实战对抗中发现，面对“Sorry”这类利用特定运维端口进行横移的病毒，真正有效的打法不是“堵死”，而是“管住”。微隔离技术恰好提供了这种能力——它不是一刀切的闸门，而是一把可以精确到单个资产、单个端口的“手术刀”。结合蔷薇灵动最新的灯火主机端口治理平台与核心的微隔离技术，我们针对“Sorry”勒索病毒的内网扩散，梳理出了一套高效、低摩擦的实战阻断方案：

摸清底数，圈定“Sorry”专属治理台账

治理的前提是看见。过去，想要盘点全网特定端口的开放情况，安全人员往往需要跨部门去“拉表格”，或者动用漏扫工具进行极其耗时的全网盲扫。

现在，依托灯火平台，我们可以直接构建出实时反映全网端口状态的动态资产台账。同时平台提供多维度筛查功，针对"Sorry"病毒的横移路径，可通过"进程+端口"的组合筛查，将全网开放着的22、2222、22222端口，以及其他sshd进程关联的端口全部检索出来。

为了便于安全人员针对特定事件或任务开展定向端口治理，平台支持自定义标签功能。比如针对上述筛查结果，统一打上“Sorry横移攻击面”的端口标签，一个针对该病毒的专属治理底账便建立完成——全网有多少台资产SSH通道可能成为病毒横移的跳板，一目了然。