风险等级：最高危⭐⭐⭐⭐⭐

高发时段：2026年3月–7月持续爆发

受害重灾区：制造、商贸、外贸、代账、中小微企业

近期多地工信、网安部门下发专项预警！一款本土化国产Sorry勒索病毒（TellYouThePass）正在全网批量收割中小企业。​

和境外病毒不同，它极其“懂国内企业”，不盲目攻击大厂，专门盯着小微企业的财务服务器、ERP账套、进销存系统下手。

无数企业一觉醒来，金蝶、用友、管家婆全部瘫痪，全年账务、客户资料、订单数据被锁，停工停产、面临泄密，损失惨重。

01 千万别大意！这不是普通勒索病毒

很多老板、运维以为勒索病毒都是外来攻击，殊不知本次爆发的Sorry病毒是纯本土黑产运营。

团伙深耕国内中小企业运维现状，精准拿捏小微企业安全短板，攻击套路完全本土化：

✅ 精准定点打击

只针对部署金蝶、用友、管家婆、异速联的中小企服务器，几乎不攻击大型企业。

✅ 全中文欺诈体系

加密文件后缀变为：【原文件名】.【主机ID】.sorry

桌面自动生成中文勒索文件，沟通、勒索流程全部适配国内用户。

✅ 双重勒索，毁灭性打击

区别于单一加密病毒，它是先偷数据、再锁数据。

加密系统前，病毒会自动窃取：对公账户流水、客户开票信息、供应商底价、全年税务台账。

不付赎金就暗网公开售卖，企业同时面临业务瘫痪+商业泄密+税务风险三重重创。

02 四大入侵入口！90%中小企业栽在这里

结合近期上百起应急响应案例，本次病毒几乎不依靠复杂漏洞，专挑企业“懒得维护”的薄弱点突破。

❶老旧金万维异速联（头号重灾区）

大量小微企业为了远程做账，仍在使用2020年前老旧版本异速联，且直接对公网开放端口。

该版本存在无账号远程代码执行漏洞，黑客扫描端口即可上传恶意程序，拿到服务器最高权限，全程无感知入侵。

❷管家婆211端口高危漏洞

管家婆默认开放211端口，存在零门槛远程命令执行漏洞。

最恐怖的是：入侵全程不生成系统日志，运维根本查不到攻击记录，病毒静默潜伏、批量加密数据。

❸财务岗精准钓鱼攻击

黑客定向针对出纳、财务人员投递伪装文件：

税务通知、社保回执、供应商报价单、电子发票压缩包。

打开即后台植入后门，长期潜伏，择机批量加密全盘数据。

❹公网弱口令暴力破解

服务器3389、1433、22端口裸奔，使用123456、公司名、年份等弱口令，被批量爆破入侵投毒。

03 病毒狠手段：彻底断绝企业自救后路

这款病毒的本土化黑产团伙极其成熟，入侵后会执行一套断后路操作，让企业几乎无法自主恢复。

🔹 自动删除系统卷影副本，彻底禁用系统还原

🔹 强制终止360、火绒、系统 Defender 安全进程

🔹 篡改hosts文件，屏蔽所有安全救援、解密工具网站

🔹 清空系统日志，完全消除攻击溯源痕迹

🔹 内网横向扩散，一台中招，全厂电脑、服务器全部沦陷

简单来说：一旦中招，无离线备份=数据基本报废。

04 真实受害场景，无数企业踩坑

📌 外贸加工厂案例

老旧异速联漏洞被入侵，3台财务服务器、12台办公终端全加密，进销存、订单数据全部锁死，停工5天，直接亏损20余万。

📌 财税代账公司案例

管家婆端口暴露中招，数十家客户账套被加密，不仅停业整顿，还要赔付客户违约金。

📌 商贸企业案例

无离线备份，被迫支付1.7万赎金，付款后仅恢复部分数据，客户资料依旧泄露。

05 紧急中招处置！四条红线绝对不能碰

一旦发现文件后缀变为.sorry，立刻执行以下操作：

✅ 第一时间断网

拔掉服务器、财务电脑网线，关闭WiFi，阻止病毒内网扩散。

❌ 禁止重启、断电、格式化

重启会销毁关键恢复痕迹，大幅降低数据恢复概率。

❌ 禁止手动改后缀、删文件

会破坏数据库结构，导致永久无法恢复。

❌ 绝对不要随意付赎金

90%企业付款后被二次勒索、黑客失联，且数字货币交易存在合规风险，数据依旧会泄露。

06 企业长效防御｜立刻自查加固（可落地）

1.封堵高危漏洞端口

淘汰2020年前老旧异速联版本；关闭管家婆211、数据库1433、远程3389高危公网端口；财务系统禁止裸奔公网。

2.彻底整改口令与权限

所有服务器、财务设备设置16位以上复杂密码，关闭匿名访问，杜绝弱口令。

3.网络分区隔离

财务服务器单独划分内网区域，禁止办公终端直接访问核心数据库，防止横向感染。

4.严格执行3-2-1备份原则（最关键）

3份数据副本、2种存储介质、1份离线异地备份。

每日自动备份账套，备份设备定期断网离线，从根源杜绝勒索锁死风险。

5.全员财务安全培训

禁止财务人员打开陌生发票、税务、报价单压缩包，拦截钓鱼邮件与不明文件。

写在最后

对于中小企业而言，网络安全从来不是空话，而是直接关联生存的底线。

Sorry勒索病毒专攻小微企业安全短板，利用老旧系统、裸奔端口、薄弱意识持续收割。

一次入侵，就可能造成停工停产、数据泄露、经济损失、口碑崩塌多重重创。

提前自查、及时加固、做好离线备份，才是最便宜、最有效的防护手段。

阅读原文：https://mp.weixin.qq.com/s/Kc9bGj_H0LA9HU60fpJucw