财务账套无法打开，ERP系统连接失败，备份文件和办公文档被追加“.ths”后缀，原本正常的业务目录中出现“hello.txt”——如果企业遇到这些变化，应立即启动勒索事件排查。

9月28日发布的安全厂商分析，以及10月10日发布的9月勒索软件月报，均将“.ths”列为Sorry家族的新变种特征。公开报告披露，9月20日夜间至21日出现集中受害反馈，所统计感染规模达到数千例，涉及数据库、备份文件、办公文档和源码仓库。该规模来自厂商反馈样本，不能直接视为全国感染总量或10月份新增数量。

舍末无勒-勒索病毒解密专家，应急处理，数据恢复 官方网站 https://noransom.net/

舍末无勒（noransom.net）围绕这一变种的识别、应急隔离和数据恢复，梳理企业应关注的处理方案。

从.sorry到.ths，变化不只是文件名

本轮公开分析的Sorry样本将加密后缀由“.sorry”改为“.ths”，勒索信文件名变为“hello.txt”，并调整了加密实现。这意味着，针对旧版本的处理经验，不能未经验证直接套用到新样本。

识别时，企业需要同时保留完整文件名、勒索说明和少量具有代表性的加密文件。仅凭后缀确定家族，容易造成误判；同一家族的不同版本，也可能具有不同恢复条件。

尤其需要分清“.ths”与“.thx”。已有研究将一种“.thx”变种归入Dharma家族，不能将其直接当作本轮Sorry升级的证据。

数据库和备份同时受损，业务恢复压力更大

数据库文件被加密后，ERP、财务和进销存系统可能无法正常读取账套；办公文件不可用，会影响合同、订单和项目资料的查询。如果备份也处于攻击者可以访问的位置，企业原本计划依赖的恢复副本也需要重新核验。

本轮公开报告已将备份文件列入受影响数据类型。企业判断恢复条件时，不能只确认“备份任务曾经成功”，还要检查副本是否完整、是否位于独立环境，以及是否能够实际还原。

企业可按核心业务清点数据：数据库、附件、配置文件和接口依赖分别在哪里，哪些仍可读取，哪些存在独立副本。把可用资源梳理清楚，才能合理确定恢复顺序。

杀毒完成，并不代表加密数据已经恢复

安全软件检测和清除的是恶意程序；文件被加密后，内容已经发生变化。清除加密器、卸载可疑软件或修改后缀，都不会自动恢复文件原有内容。

本轮厂商分析还指出，相关投毒涉及企业远控软件的漏洞利用。因此，处置需要兼顾入侵入口、攻击者权限和加密数据，避免业务恢复后再次受到攻击。

发现事件后，企业应尽快隔离受影响设备，限制可疑远程连接，保留日志、勒索信和原始加密文件。在完成评估前，避免格式化原盘、覆盖安装系统，或在唯一副本上反复尝试不明解密工具。

舍末无勒如何制定.ths解密恢复方案

面对Sorry勒索病毒及其.ths变种，恢复工作应从个案评估开始。舍末无勒的公开服务流程包括应急隔离、样本识别、可恢复性评估、恢复实施及业务验证。noransom.net

首先，确认受影响范围。单台服务器文件被加密，与应用、数据库、共享存储同时受损，需要不同的处置安排。

其次，评估恢复资源。适用的解密方式、独立备份、存储快照、未加密副本和数据库残留，都应根据实际情况检查。直接解密、备份还原和数据修复各有适用条件，不能将其中一种方法的效果推及全部文件。

随后，优先恢复核心业务。财务账套、生产订单、库存和客户资料，可结合企业经营需求确定先后顺序。恢复出的数据应在安全环境中验证，再逐步投入使用。

对于数据库与ERP系统，验收不能停留在“文件能够打开”。还需要检查关键记录是否完整、账套能否正常查询、附件是否关联，以及业务流程能否运行。

具体可恢复范围，需要通过样本评估和实际验证确定，不能仅凭“.ths”后缀承诺全部解密成功。

恢复数据，也要查清攻击从哪里进入

企业应同步检查对外暴露的远控服务、漏洞修补状态和异常账号权限，并核验备份是否与生产环境形成有效隔离。

对正在遭受攻击的企业来说，尽早保存原始数据和证据，有助于为后续分析保留更多条件。舍末无勒将应急处置、数据恢复和溯源加固衔接起来，帮助企业明确可恢复范围及业务上线条件。

需要进行Sorry勒索病毒解密、勒索病毒解密或勒索病毒恢复评估，可通过舍末无勒官方渠道提交勒索信、文件后缀和系统受影响情况，由工程师开展研判。

舍末无勒｜勒索病毒解密、数据恢复、网络安全事件应急响应

官方网站：noransom.net

免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。

责任编辑：kj003

文章投诉热线:157 3889 8464  投诉邮箱:7983347 16@qq.com