金蝶服务器抓到的勒索样本Ransom/LockFile.n

ndd200

金蝶服务器中了一次勒索病毒，换了一台服务器全新安装，装了火绒没几天，火绒连续拦截到两次这个文件。
看文件路径和命名，像是金蝶自身的更新文件。

看火绒报的病毒类型，是勒索病毒？

压缩包密码kafan



我补充一点，这文件居然就是金蝶自己带签名的exe，下载解压出来的。
KSCloudPlatform2X64.exe（带金蝶签名），下载kiscldsrvupd.exe，用lzmac.exe（带金蝶签名）解压到update目录时，被火绒拦截。

金蝶官方，仅仅看了文件路径，说是正常的文件，误报，让我别担心加白名单。 我在虚拟机上运行，实锤是勒索病毒。千万不要实机运行，加密后扩展名是.sorry。

20260427 17:51更新下：服务器上有金蝶自己的日志，下载、执行这个勒索程序。当然，没执行成功，被火绒直接隔离。

金蝶官方还没给说法。

莒县小哥

dd2006

360卫士麒麟版   kill

Xopii

EIS不报

pal家族

我去核实下

心痛的伤不起

瑞星miss

superLYT

bdts双击atd

ndd200

金蝶官方，仅仅看了文件路径，说是正常的文件，误报，让我别担心加白名单。
我在虚拟机上运行，实锤是勒索病毒。

gsgaosheng

看楼主的图片，金蝶的更新文件最后修改日期是2023年的（虽然数字签名没有时间戳证实），这个时间至少可以说明金蝶自家更新公共服务器上的文件至少2023年存在了（当然，说法不严谨，时间可以任意修改）。如果想报毒，三年前就可以报了。（不排除这三年，楼主没有对这个私有金蝶服务器扫毒）。
后来看到楼主更新的虚拟机双击情况，个人认为勒索已经入侵金蝶的更新服务器，也有可能金蝶的数字签名被利用。

ndd200

gsgaosheng 发表于 2026-4-27 11:37
看楼主的图片，金蝶的更新文件最后修改日期是2023年的（虽然数字签名没有时间戳证实），这个时间至少可以说 ...

这个2023年的文件KSCloudPlatform2X64.exe，是金蝶自己的更新程序，有金蝶的签名。
CloudPlatform2LAN\lzmac.exe，也有金蝶的签名。
它们下载了kiscldsrvupd.exe.cps文件，解压出来的kiscldsrvupd.exe是勒索病毒，已经实锤，和我们前一台服务器中的毒一样，都是.sorry扩展名。


刚刚全新安装的金蝶服务器，服务器是阿里云ECS，这个月刚刚买的。


操作进程：C:\Program Files\Kingdee\SmartDepServer\Server\CloudPlatform2LAN\lzmac.exe
操作进程命令行："C:\Program Files\Kingdee\SmartDepServer\Server\CloudPlatform2LAN\lzmac.exe" d "C:\Program Files\Kingdee\SmartDepServer\Server\CloudPlatform2LAN\update\kiscldsrvupd.exe.cps" "C:\Program Files\Kingdee\SmartDepServer\Server\CloudPlatform2LAN\update\kiscldsrvupd.exe"
父进程ID：784
父进程：C:\Program Files\Kingdee\SmartDepServer\Server\CloudPlatform2LAN\KSCloudPlatform2X64.exe