写在前面

这是一篇快报，长话短说。

近日我们收到一起企业应急求助，上机排查后发现，受害服务器上的文件被批量加密，扩展名被追加为一个此前从未见过的新后缀 .ths，每个目录下均留有名为hello.txt 的勒索信。经过比对分析，我们确认这不是新家族，而是我们长期跟踪的 Sorry 勒索病毒（TellYouThePass 勒索家族）卷土重来，换了一个新名字继续作案。

考虑到该家族惯用 0day 发起攻击，传播速度快、波及面广，我们将关键信息整理如下，请相关行业的同行尽快排查。

一、事件速览

本次事件中，受害主机的文件被加密后统一追加 .ths 后缀，其中包含大量数十GB 级别的数据库备份文件，加密时间集中在 2026 年 9 月 21 日凌晨至上午时段。

受害主机上被追加 .ths 后缀的加密文件列表，含多个数十 GB 的数据库备份文件

勒索信方面，攻击者在每个目录下投放了 hello.txt，仅一台主机上的勒索信文件就接近十万个。

受害主机各目录下被批量投放的 hello.txt 勒索信，总量接近十万个

勒索信内容为英文，勒索 0.025 BTC，引导受害者通过 qTox 工具联系攻击者，并提示若无法联系可找数据恢复公司或电商平台中转沟通。

本轮攻击投放的 hello.txt 勒索信内容（敏感信息已打码）

二、为什么我们确认它就是 Sorry勒索病毒

后缀是新的，但内容及特征全是旧的。判断依据有三点。

第一，勒索信内容几乎一致。将本次的 hello.txt 与 Sorry 此前投放的勒索信逐句比对，行文结构、措辞、引导方式基本相同，均为引导受害者通过 Tox 沟通，或经电商平台寻找中间商完成交易。

Sorry 勒索病毒此前投放的勒索信原文，与本次 hello.txt 内容几乎无差别（敏感信息已打码）

第二，联系方式指向同一个。两版勒索信中留下的 qTox ID 一致，首尾字符完全相同，说明两次攻击背后是同一运营团伙。

第三，攻击手法一致。本次入侵的作案流程与此前 Sorry 系列攻击中的手法吻合，该家族惯于利用应用 0day 突破边界，在内存中执行加密器，落地痕迹少。

另外有个值得一提的细节。ths 这三个字母，恰好是 TellYouThePass 的常用缩写形式。我们在此前的系列复盘中一直将 Sorry 归类于 TellYouThePass 家族，也印证我们此前的判断方向无误。

三、我们对此家族的持续跟踪

今年以来，该家族在国内频繁作案，从攻击入口的 0day 分析，到内存执行加密器的行为特征，再到 TTPs 与 IOC 的梳理，我们一直在及时跟进并公开复盘，相关文章可通过solar官方渠道查看。

目前，该家族的加密后缀、勒索信样式、威胁指标等信息均已收录进我们的勒索家族库，.ths 后缀已同步更新至 TellYouThePass 家族条目下。在solar官方渠道可直接检索查询。

solar官方渠道可检索 ths 后缀，已指向 TellYouThePass 家族

solar官方渠道勒索家族库 TellYouThePass 条目，扩展名已收录 .ths

四、防护建议

该家族的攻击入口几乎都是应用 0day，且我们在此前的复盘中多次指出，种种迹象高度指向国内人员作案，这意味着攻击者熟悉国内企业的软件环境与值守节奏。面对 0day，补丁永远慢一步，最有效的防护动作只有一个，收敛暴露面。请立即排查本单位直接暴露在公网的业务系统，尤其是财务、ERP、OA 等承载核心数据的 Web 应用，能收回内网的收回内网，必须对外提供服务的，改为通过 VPN 访问。

同时确认核心数据存在离线或异地备份，且备份与生产环境物理隔离。该家族单次加密的数据量动辄以 GB-TB 计，一份干净的离线备份，是加密发生后唯一不依赖运气的退路。

五、写在最后

我们会继续对 TellYouThePass 家族保持跟踪，包括本轮 .ths 变种的样本分析与处置进展，如有最新情况会第一时间在公众号同步，建议关注以便及时收到提醒。

如企业已发现 .ths 后缀的加密文件，请第一时间断网隔离受害主机，不要重装系统，不要删除勒索信与加密文件，保留现场后可联系专业团队。