作者：州弟学安全
依托 Solar 安全运营响应团队的日常实战沉淀，我们会定期分享在安全运营中处置的典型应急响应事件，涵盖银狐木马、APT 攻击、勒索病毒等各类主流威胁。 作为专业的应急响应中心，Solar 致力于为复杂多变的安全事件提供从深度溯源到闭环处置的全流程支持。针对银狐、APT 等具有高隐蔽性的威胁，我们不仅聚焦于对其攻击行为的深度剖析，更致力于还原其完整的活动链路，并同步输出切实可行的清除闭环操作方案。 突发危机干预通道： 若您的核心资产正面临加密锁定或数据勒索风险，请通过文末二维码联系我们。我们提供全天候紧急介入服务，协助您快速切断攻击链路，全力挽回业务损失。
勒索团伙的打法转变与近期事件背景
最近一段时间，国内 .sorry 勒索病毒呈现出集中爆发的态势。此前，Solar应急响应团队已经发布过一期预警文章：https://mp.weixin.qq.com/s/YiSa1W6\\_hDdGD9faXxTHoA
根据我们长期追踪掌握的情报，该勒索家族（TellYouThePass）具有极强的“本土化”特征。在前几年的活跃期中，他们非常擅长将国内 HW（护网）演练中爆出的 0day、1day 漏洞迅速武器化并进行全网利用。有意思的是，在近几次的深度溯源中，我们发现该团伙在内网横向移动和权限维持的手法，与国内红队实战套路如出一辙。
在我们以往披露的案例中，攻击者多利用 OA、ERP 系统的反序列化等高级漏洞进行打点。但在最近几天集中爆发的求助案例中，我们发现了一个显著的变化：一大半以上的受害服务器，并非被 0day 漏洞攻破，而是均部署了遗留的老版本远程应用交付系统（金万维异速联）。
需要客观说明的是，根据金万维官方在 2025 年 2 月 5 日发布的公告，老版本的异速联产品现已全面升级至其他全新架构的产品线。 然而在实战排查中我们发现，仍有大量企业因业务依赖等原因未及时进行架构迁移。这些遗留的老版本系统几乎都存在不同程度的弱口令问题（如 123456、solar123 等极易被猜测的密码），给攻击者留下了可乘之机。
这就好比防御方把大门修得固若金汤，却留了一扇连锁都没挂好的侧窗。
金万维异速联WEB页面示例
金万维异速联产品升级公告
声明： 本文仅供技术探索与安全防护学习参考。文中提及的渗透测试与复盘分析行为均在客户已明确授权的环境下进行。
为保护目标单位隐私，所涉系统名称、参数、URL、IP 及敏感数据已作严格的脱敏和虚拟化处理。切勿利用本文思路进行任何未经授权的测试与攻击行为。如您在日常业务中遭遇勒索病毒、远控木马等安全事件，欢迎联系 Solar 应急响应团队。
转变思路，以攻促防的红队视角排查
在本次受托进行应急响应的机器中，由于该远程接入服务自身缺乏详尽的常规应用日志，传统的基于日志流水进行溯源的路径严重受阻。
为了能够精准还原攻击链路，Solar 应急响应团队在获取客户正式渗透测试授权后，决定转换思路：直接采用渗透测试的视角，通过主动的信息收集和模拟攻击去印证取证结果与攻击路线。
1. 资产探测与暴露面分析
客户的核心业务是金蝶 K3 系统。在对该服务器的公网 IP 进行资产测绘后，我们发现金蝶 K3 的核心业务端口并未直接暴露在公网。
经与客户沟通确认，其业务架构为：员工必须先登录金万维异速联的 Web 门户，才能通过应用虚拟化访问内网的金蝶系统。对目标进行资产探测后发现，该服务器对外开放的端口除了常规的 NAS 端口外，主要就是 10020（修改后的 RDP 端口）以及 8000（异速联 Web 门户端口）。
参考此前类似的安全事件（如：https://mp.weixin.qq.com/s/WVdLLViiA9qg3A4J5WlcTQ），我们推测攻击者正是盯上了这个应用交付网关。
对客户公网 IP 进行资产探测，发现其对外暴露的 Web 门户及 RDP 端口
2. 毫无设防的 LoginServer 接口成为突破口
攻击者在利用空间测绘引擎大范围检索特定网关资产后，通常会利用自动化脚本进行批量扫描与爆破。
在模拟攻击测试中我们发现，该系统的 LoginServer 身份验证接口存在明显的逻辑设计短板：完全没有配置基础的风控机制。既没有图形验证码进行人机校验，也没有在账号多次登录失败后触发冻结或锁定策略。
这种完全暴露且毫无防护的认证接口，对于攻击者而言简直是完美的撞库靶场。他们利用社工字典（如：企业简称+数字、solar521、admin123等）可以毫无阻碍地进行持续爆破，直至成功猜解出合法用户的凭据。
抓包分析发现，其 LoginServer 认证接口缺乏基础的风控限制，极易被自动化工具批量撞库
3. 探究底层逻辑与攻击手法
很多人可能会有疑问：“黑客只是破解了我们一个普通的 Web 办公账号，为什么整个 Windows 服务器的文件都会被加密？”
这就涉及到了此类远程接入软件底层的影子账户机制。为了实现多用户并发访问单个应用程序，应用虚拟化系统通常会在 Windows 操作系统内部动态创建和映射一批隐藏的系统级账户。
攻击者可以在当前 Web 页面直接下载任意系统客户端（只有下载并安装客户端后，才具备访问相关业务应用的条件）。当攻击者使用爆破成功的账号密码登录该异速联客户端后，就正式进入了后续的业务系统内网。
通过 Web 页面下载并安装远程接入客户端
进入业务系统后，安全隐患才刚刚开始。以本次受害企业的金蝶 K3 为例，正常情况下独立访问金蝶系统是需要输入金蝶专属的账号和密码的。但是，当攻击者通过异速联环境登录拉起应用时，系统会直接使用底层映射的域用户身份进行单点登录，实现了无密码直接进入系统。 这种利用网关信任域进行二次渗透的手法，与我们团队此前披露的 GlobeImposter 家族攻击路径如出一辙。
金万维异速联客户端登录成功后页面示例
利用远程虚拟化接入的信任机制，攻击者成功绕过认证，无密码直接登入金蝶业务系统
成功进入虚拟化业务界面后，黑客是如何从一个受限的应用程序跳跃到服务器底层的呢？这就用到了红队非常经典的**“文件资源管理器逃逸”**手法。
当攻击者在金蝶系统中找到可以交互的功能点（例如点击“服务预约”或“查看帮助文档”），系统通常会调用浏览器或资源管理器弹出新窗口。需要特别注意的是：此时弹出的浏览器，并非攻击者本地电脑上的进程，而是金万维服务器在后台利用 GNWay_admin_xxx 这个影子账户拉起的服务器本地进程。
也就是说，黑客此时其实已经间接置身于服务器内部。
在这个被拉起的服务器浏览器或文件夹窗口中，攻击者可以像操作正常电脑一样，点击地址栏查看服务器本地目录，甚至直接访问网盘或 C2 节点下载加密器实体。
攻击者利用业务系统的交互功能唤出服务器本地的浏览器，实现沙箱逃逸
攻击者利用业务系统的交互功能唤出服务器本地的文件视图，实现沙箱逃逸
更为致命的是，在打开的任意目录或硬盘视图空白处，攻击者只需按下 Shift + 鼠标右键，就能在右键菜单中找到并直接打开“命令提示符（CMD）”或 PowerShell 窗口。
通过在跳出的目录界面使用 Shift+右键快捷操作
直接唤醒系统底层命令行控制台执行任意命令
拿到命令行控制台后，沙箱防御失效，攻击者已经获取了执行任意系统级命令的权限，可以肆无忌惮地进行内网探测或投递恶意负载。
4. 交叉日志审计与勒索程序的深度伪装
在完全复盘了攻击者的渗透路径后，Solar 应急响应团队立即提取了服务器底层的核心系统日志展开精准溯源。
我们在对 Amcache、AppCompatCache（应用程序兼容性缓存）等关键底层活动日志进行提取和交叉审计后，将时间线与模拟攻击路径对齐。日志确凿地证实：攻击者正是在利用上述的命令行逃逸手法后，通过 CMD 终端将名为 gnsc.exe 的勒索加密器直接下载并存入到了服务器的 Public（公用）目录下。
Amcache 与 AppCompatCache 等底层日志交叉审计，定位到加密器 gnsc.exe 在 Public 目录落地
提取的加密器在本地虚拟机进行测试（加密过程）
值得一提的是，攻击者在病毒投递阶段表现出了极强的对抗意识。他们故意将勒索加密器命名为 gnsc.exe，这是因为异速联系统自身的正常服务进程通常都是以 Gn 开头的（如 GnServer、GnClient）。这种利用合法命名规范“浑水摸鱼”的手法，极大程度地绕过了日常的人工巡检和基础的白名单监控。
.sorry勒索病毒攻击链路图
目前，我们已成功提取该变种的最新加密器样本，后续将为大家更新详细的逆向工程分析报告。同时，关于该勒索家族近期的相关 IOC（失陷标示）情报，我们也已同步至Solar威胁情报平台。
针对该变种及类似家族的高频打击，思而听防勒索 AI 疫苗（SAR）目前已支持对该家族底层加密密钥的动态捕获，能够在勒索主体尝试加密的瞬间实现毫秒级精准解密与拦截，实现快速恢复数据、无需缴纳赎金。
思而听防勒索 AI 疫苗（SAR）成功捕获该勒索家族密钥并实现拦截阻断
从本次应急复盘看企业安全建设思路
梳理完这条攻击链路，我们会发现，近期集中爆发的“.sorry"勒索病毒并没有使用多么高深莫测的技术，仅仅是利用了边缘资产暴露 + 弱口令撞库 + 缺乏接口风控 + 影子账户逃逸的组合拳，就完成了对核心数据的加密勒索。这也警示我们，网络安全的短板效应极其明显。
针对此类安全威胁，Solar 应急响应团队给出以下几点务实的防护建议：
强化身份认证基线： 无论是何种远程办公接入软件，严禁使用弱口令。强制开启双因素认证（MFA），这是阻断自动化爆破最有效、成本最低的手段。
收敛公网暴露面： 非必要不暴露。如果业务必须对外，请务必开启登录接口的图形验证码，并配置严格的 IP 访问频率限制和防爆破锁定策略。
安全设备与预算的平衡： 很多中小企业面临安全预算有限、无法采购大型安全硬件的困境。在这种情况下，建议优先做好操作系统的底层加固与权限收敛。有条件的企业，强烈建议部署轻量级的防勒索专项产品（如防勒索 AI 疫苗 SAR），以极低的系统资源占用为服务器提供数据托底保障。
敬畏数据，定期备份： 无论安全建设做得多好，脱机、异地的数据备份永远是面对勒索病毒最后的底气。请务必落实 3-2-1 备份原则，并定期演练恢复流程。
