厦门工厂因遗留远程漏洞中.sorry勒索病毒，SQL财务数据库24小时零赎金完整恢复案例

一、客户背景

客户：厦门同安区某机械配件制造工厂（年产值约8000万，员工200余人）

IT环境：

• • 服务器：HP ProLiant DL380 Gen10 机架式服务器
• • 操作系统：Windows Server 2016 Standard
• • 数据库：SQL Server 2016 Enterprise Edition
• • 核心数据：金蝶KIS财务数据库（80GB+）、生产ERP管理数据库（150GB+）、HR人事薪资数据库（30GB）
• • 备份策略：SQL Server维护计划每周五自动备份至服务器E盘备份目录，保留最近4个备份
• • 远程管理：为方便外包IT人员远程维护，开放公网远程桌面（3389端口），且操作系统存在一个已被遗忘的旧版本地管理员账户未禁用

二、故障经过

Day 0 — 周六凌晨 2:15：黑客通过端口扫描发现该服务器3389端口开放，针对服务器上一个被遗忘的旧管理员账户（serveradmin，密码为弱口令）发起暴力破解攻击。该账户创建于2018年服务器上线初期，因外包IT人员更替，交接遗忘未及时禁用。

Day 0 — 周六凌晨 2:32：仅17分钟的弱口令爆破即成功登录。黑客登录后立即执行以下操作：

1. 1. 通过net user命令确认当前管理员权限
2. 2. 关闭Windows Defender实时防护
3. 3. 通过PowerShell下载并释放.sorry勒索病毒载荷
4. 4. 执行病毒程序，指定优先加密.mdf、.ndf、.ldf、.bak扩展名文件

Day 0 — 周六凌晨 2:35~4:50：.sorry勒索病毒按优先级遍历所有磁盘分区：

• • 优先攻击D盘SQL Server数据目录，加密全部.mdf/.ndf/.ldf文件
• • 随后攻击E盘备份目录，加密全部.bak备份文件
• • 最后遍历C盘和共享文件夹中的文档类文件
• • 所有被加密文件后缀变为.sorry
• • 每个目录下投放勒索信!!!SORRY_README!!!.rtf

Day 0 — 周六夜间至周日：工厂周末不生产，无人察觉。

Day 1 — 周一早上 7:45：财务部门第一个到岗，打开金蝶KIS软件报错"无法连接到数据库服务器"。IT管理员远程检查服务器，发现所有数据库文件后缀变为.sorry，备份文件全被加密，服务器桌面上弹出勒索信窗口。IT管理员立刻打电话给外包IT公司，但对方表示"这种情况只能格式化重装"。

Day 1 — 周一早上 9:30：工厂负责人经同行介绍，紧急联系了我们（Kisdee数据恢复团队）。

三、勒索信与病毒特征

勒索信内容摘要：

" “YOUR DATABASE FILES ARE ENCRYPTED! All your SQL Server database files, backup files and important documents have been encrypted with AES-256 + RSA-2048 military grade encryption. Do not try to recover files yourself — any attempt will permanently destroy them! To restore your data you must pay 2.5 Bitcoins to the wallet address below. After payment email us the transaction ID and we will send the decrypt tool. You have 72 hours before the price doubles.”

病毒特征识别：

• • 加密文件后缀：.sorry
• • 勒索信文件名：!!!SORRY_README!!!.rtf
• • 加密算法：AES-256-CTR + RSA-2048混合加密
• • 针对目标：SQL Server数据库文件（.mdf/.ndf/.ldf/.bak）优先级最高
• • 入侵途径：遗留管理员账户弱口令 → RDP远程桌面爆破

四、紧急响应与现场处置（Day 1 上午）

我们的技术团队接到求助电话后，在电话中指导工厂IT管理员执行紧急处置：

上午11:00，技术团队携带专业设备抵达工厂现场。

现场取证与镜像制作：

1. 1. 使用写保护器连接服务器硬盘，确保原始数据不被修改
2. 2. 制作系统盘（C盘）和数据盘（D盘/E盘）的完整扇区级只读镜像
3. 3. 从系统盘中提取Windows安全事件日志、RDP登录日志，用于入侵溯源
4. 4. 采集病毒样本（可执行文件、勒索信、加密文件样本）送往实验室分析

五、病毒溯源分析（Day 1 下午）

通过分析安全日志，完整还原了攻击链：

1. 1. 入侵时间线：
2. 2. 被利用的漏洞：
3. 3. 攻击源IP：经查询为境外代理IP（多个跳板节点），真实攻击者身份无法追踪。

六、核心技术恢复方案（Day 1 ~ Day 2）

◆ 核心结论：.sorry对大型数据库文件的加密策略是恢复的关键突破口

经病毒逆向分析确认，该.sorry变种对大型数据库文件（>10GB）采用头尾加密+间隔采样策略：

• • 文件头64KB全部加密（覆盖数据库文件头Page Header、PFS、GAM/SGAM系统页）
• • 每80MB间隔加密4KB数据块
• • 文件尾64KB全部加密

关键数据点：

• • 金蝶KIS财务数据库（80GB）：实际被加密的数据量约4.2GB，加密比例仅约5.3%
• • ERP管理数据库（150GB）：实际被加密约7.8GB，加密比例仅约5.2%
• • HR数据库（30GB）：加密比例约6.1%

这意味着94%~95%的数据库数据页保持原始未加密状态，完全可以通过底层提取恢复。

◆ 恢复详细流程：

第一阶段：未加密数据页提取

基于SQL Server数据库页结构特征——每页8192字节，页头96字节（以0x01 0x0F 0x00 0x00魔数开头）包含页ID、页类型、对象ID、分配单元ID等元数据——逐页扫描加密文件，识别未被AES加密的完整数据页并提取。

从金蝶KIS财务数据库（80GB）中，成功提取约94.7%的原始数据页。

第二阶段：加密区域修复

1. 1. 文件头重建：数据库Page 0（文件头）被加密，包含数据库版本号、文件GUID、创建时间、数据库选项等关键元数据。通过以下方法重建：
2. 2. 系统页修复：
3. 3. 间隔加密块修复：

第三阶段：数据库重组

将修复后的数据页按IAM链和页链关系重新组装为完整数据库文件，在隔离验证环境中执行：

1. 1. 附加修复后的数据库
2. 2. 执行DBCC CHECKDB全面检查物理和逻辑完整性
3. 3. 逐表验证记录数、索引完整性和外键约束

恢复结果总览：

总恢复耗时：从接到电话到数据完整交付，不到24小时。

七、客户数据验证

在隔离验证环境中，财务团队逐项验证：

• • ✅ 金蝶KIS所有账套完整可打开，凭证数据、科目余额、往来账款全部完整
• • ✅ 最近一个会计期间（当月）的所有凭证齐全，与纸质凭证核对无误
• • ✅ ERP系统恢复后生产排单、BOM物料清单、工序管理数据完整
• • ✅ HR系统员工档案、薪资记录、考勤数据完整

周一晚上10:00，数据完整验证通过。协助客户将数据库迁移至新采购的安全服务器，业务系统恢复正常运行。

八、为什么能做到零赎金24小时恢复？

零赎金恢复的三个技术支柱：

1. 1. .sorry病毒对大文件的部分加密策略是本案例恢复速度的决定性因素。加密比例仅5%~6%，意味着绝大部分数据无需"解密"，直接提取即可。这不是运气，而是我们对.sorry全系列变种加密策略的系统性研究积累。
2. 2. 日志文件（LDF）的辅助价值被充分利用。很多团队在勒索病毒恢复时只关注.mdf文件，忽略了日志文件中存储的大量事务历史，这些历史记录可以反向重建被加密页的原始数据。
3. 3. 客户第一时间断网关机是正确决策。没有任何后续写入操作，磁盘底层数据状态完美保留，为零赎金恢复创造了最佳条件。

与支付赎金的对比：

九、案例关键启示

1. 1. 禁用所有不再使用的账户！ 这是本案例最核心的教训。一个三年前创建、早已被遗忘的serveradmin账户，成了黑客入侵的"万能钥匙"。建议定期审计Windows本地用户和组，禁用或删除所有非必要账户。
2. 2. 远程桌面不能裸奔在公网上！ 3389端口直接暴露 = 随时可能被爆。推荐方案：VPN接入内网后再RDP、或使用RD Gateway、或至少配置防火墙IP白名单+修改默认端口。
3. 3. 外包IT交接必须规范化！ 前任IT离职时未交接服务器账户清单，导致serveradmin成为"幽灵账户"。建议建立标准化的IT资产和账户交接清单。
4. 4. 备份要离线、异地、多份！ 本案例中服务器本地E盘的备份被勒索病毒一并加密。正确的备份策略是3-2-1法则：3份备份、2种不同介质、1份异地/离线。
5. 5. 中病毒后第一时间断网关机，不要自行尝试恢复！ 工厂IT管理员在电话指导下果断关机断电，这个动作保住了磁盘底层的原始数据状态，是24小时快速恢复的重要前提。

十、事后安全加固方案

协助工厂完成以下安全整改：

• • 🔒 清理所有无用账户，将有效管理员账户密码改为16位以上随机复杂密码
• • 🔒 部署VPN设备，关闭公网3389端口，所有远程维护通过VPN接入
• • 🔒 采购独立NAS设备部署于内网隔离VLAN，每日凌晨自动备份数据库至NAS，保留30天历史
• • 🔒 同时配置云端异地备份，每日增量同步至阿里云OSS
• • 🔒 Windows防火墙仅开放ERP业务的必要端口，默认拒绝所有入站流量
• • 🔒 安装Windows Server关键安全更新和累积补丁
• • 🔒 部署终端安全软件，配置勒索行为检测告警策略
• • 🔒 建立IT资产和账户台账清单，外包IT交接须逐项签字确认

📞 你的工厂/企业SQL数据库中了.sorry勒索病毒？立即断网关机，联系我们免费评估恢复可能性！

🔗 官网：www.kisdee.com.cn | 不成功不收费 | 7×24小时应急响应

📍 厦门全境覆盖：思明区、湖里区、集美区、海沧区、同安区、翔安区 — 岛内90分钟到达现场

标签：厦门sorry勒索病毒恢复案例、SQL财务数据库零赎金恢复、厦门工厂勒索病毒解密、远程漏洞入侵、sorry病毒24小时恢复、厦门ERP数据救援