【全网首发】Weax与Sorry勒索病毒席卷全国中小企业，深度还原全链路攻击，疑似黑客利用AI挖掘管家婆0day漏洞
勒索软件 攻击技术 威胁情报
Weaxor家族（.weax）与Tellyouthepass家族（.sorry）近期在国内中小企业密集作案，Solar应急响应团队多起处置案例对比后发现高度一致的共同点：受害者无一例外部署管家婆系列管理软件（辉煌Ⅱ/TOP+等），且211端口对外开放。本文逆向scktsrvr.exe（Borland Socket Server）还原其MIDAS私有二进制协议，发现InterceptGUID为空导致协议层完全无鉴权；自研TCP中继对真实攻击流量抓取880条消息，纠正关键协议细节——action字节位于签名首字节（04 da握手/03 da查询方法名/02 da方法调用）；最终构造无凭据PoC：经管家婆默认主账套hherpmaster零先验知识连库，OpenSQL+AS_GetRecords拼接xp_cmdshell获取NT AUTHORITY\SYSTEM权限，全程无登录日志、无告警、非Web路径、借用应用自身的sa连接。文中验证同网段多款共用scktsrvr的应用同样受影响（CLSID字典定位管家婆{69C419F0-...}），缓冲区溢出研究确认word_491354大小表越界路径被Delphi异常EVariantError中和、非可利用路径，并按优先级给出5条防御建议。附录含4个相关样本的MD5/SHA256指纹。