2017勒索软件威胁形势分析报告_77页_5mb

2017年勒索软件威胁形势分析报告总结

核心内容概述

2017年，勒索软件成为全球范围内最严重的网络安全威胁之一，其攻击量、攻击方式和攻击目标均呈现出显著的多样化趋势。360互联网安全中心对2017年勒索软件攻击情况进行了全面分析，并预测了2018年的趋势。报告还列举了多个典型案例，包括永恒之蓝（WannaCry）和类Petya病毒等，揭示了勒索软件对关键信息基础设施的严重威胁。同时，报告提出了防御技术趋势和用户安全建议。

主要观点与关键信息

一、勒索软件攻击量与传播方式

• 攻击量：2017年1月至11月，全国至少有472.5万台用户电脑遭到了勒索软件攻击，平均每天约1.4万台。
• 家族分布：Cerber、Crysis、WannaCry三大家族的受害者占比达58.4%，其中Cerber占比21.0%，Crysis占比19.9%，WannaCry占比17.5%。
• 传播方式：
  1. 服务器入侵传播：通过弱口令、漏洞等方式入侵服务器并手动运行勒索软件。
  2. 利用漏洞自动传播：如WannaCry利用“永恒之蓝”漏洞进行快速扩散。
  3. 软件供应链攻击：如Fireball、暗云III、类Petya等通过合法软件升级通道进行传播。
  4. 邮件附件传播：伪装成重要文档的附件诱导用户打开并执行恶意代码。
  5. 挂马网页传播：在主流网站中植入木马，通过IE或Flash漏洞攻击用户。

二、勒索软件攻击地域与行业分布

• 地域分布：广东、浙江、江苏是勒索软件攻击最严重的省份，合计占64.1%。
• 行业分布：
  • 能源行业占比最高，达42.1%；
  • 医疗行业占比22.8%；
  • 金融行业占比17.8%；
  • 企业用户占比63.5%，个人用户占比36.5%。

三、勒索软件攻击特点

• 无C2服务器加密技术：勒索软件不再依赖C2服务器，加密过程无需回传私钥，提高隐蔽性。
• 攻击目标转向政企机构：攻击者更倾向于针对高利润目标，尤其是中小企业。
• 攻击目的多样化：部分勒索软件不再以勒索金钱为目的，而是以破坏数据、窃取信息为主。
• 平台化运营：勒索软件开始采用RaaS（勒索即服务）模式，形成完整的产业链。
• 境外攻击者为主：绝大多数攻击来自境外，国内攻击者技术水平较低，且部分勒索软件存在漏洞，容易被破解。

四、受害者特征与行为

• 受害者性别：男性占比90.5%，女性仅9.5%。
• 受害者身份：企业用户占比高，尤其是普通职员（51.8%），管理层（33.0%）和高管（1.8%）。
• 感染途径：多数受害者不清楚感染来源，44.0%的受害者未意识到感染方式。
• 文件类型感染情况：办公文档、图片、视频、音频等文件被感染的比例较高，其中办公文档占比87.6%。
• 赎金支付情况：5.8%的受害者支付了赎金，94.2%拒绝支付，主要原因是不信任、不愿纵容黑客、相信有恢复工具等。
• 恢复方式：30.8%的受害者通过支付赎金恢复文件，25.0%通过历史备份，23.1%通过解密工具，21.2%通过专业人士破解。

五、WannaCry勒索蠕虫事件分析

• 影响范围：WannaCry是2017年最具破坏力的勒索软件，全球范围内影响了超过100个国家。
• 攻击特点：
  • 三位一体病毒：结合勒索软件、蠕虫病毒和“永恒之蓝”漏洞。
  • 自杀开关机制：访问特定URL以决定是否继续攻击，被英国安全研究人员注册后，有效遏制了传播。
• 内网穿透原因：
  • 一机双网未管理；
  • 缺陷设备带出办公区；
  • 协同办公网络未全隔离；
  • 防火墙未关闭445端口；
  • 办公网与生活网未隔离；
  • 外网设备分散无人管理。
• 管理与技术问题：
  • 安全意识不足；
  • 管理制度执行不力；
  • 技术手段未有效实施，如补丁管理、隔离措施等。

典型案例分析

永恒之蓝攻击与响应案例

1. 某大型能源机构：WannaCry在72小时内大规模传播，导致生产系统瘫痪，最终通过断开445端口、部署免疫工具和补丁更新控制疫情。
2. 某全国联网机构：尽管部署了防火墙和终端安全软件，但部分终端未及时打补丁，导致系统存在重大隐患，最终通过手动和远程升级控制了病毒传播。
3. 某市视频监控系统：服务器被WannaCry感染导致监控系统瘫痪，通过阻断445端口、部署免疫工具和系统还原恢复了运行。
4. 某大企业提前预警：在病毒爆发前，该企业通过媒体报道和安全厂商建议，采取了全面排查和防护措施，成功避免了感染。
5. 某新能源汽车厂商的工业控制系统：由于未部署安全措施，系统被WannaCry感染，最终通过两个月的排查和清理恢复了系统。

类Petya攻击与响应案例

• 攻击方式：通过会计软件M.E.Doc的升级通道进行传播。
• 影响范围：乌克兰、俄罗斯、印度、法国等多国受到严重影响，包括政府、银行、电力系统等。
• 病毒特点：NotPetya通过MBR修改导致系统崩溃，BadRabbit通过诱导下载和局域网传播。

MCR勒索病毒案例

• 攻击方式：伪装成“VortexVPN”等软件诱导用户下载。
• 加密方式：采用AES对称加密算法，密钥硬编码在脚本中，便于解密。
• 攻击结果：数据库、文档等被加密，但可通过密钥恢复，未支付赎金的受害者也有较高的恢复可能性。

2018年勒索软件趋势预测

• 攻击质量与数量上升：勒索软件将更加先进，攻击频率和规模将增加。
• 自我传播能力增强：病毒的传播速度和隐蔽性将进一步提升，静默期延长。
• 攻击目标多样化：操作系统类型增多，攻击更加精准。
• 经济损失加剧：受害者支付赎金数量增加，但恢复成功率下降。
• 防御技术趋势：
  • 个人终端：文档自动备份、行为追踪、文件格式分析等；
  • 企业级终端：云端免疫、密码保护、数据流分析等；
  • 专业安全厂商提供解密服务和防护工具。

用户安全建议

个人用户

• 安装并更新安全软件；
• 避免打开陌生邮件附件；
• 定期备份重要文件；
• 提高安全意识，避免点击不明链接或下载可疑软件。

企业用户

• 加强补丁管理，确保系统及时更新；
• 部署企业级终端安全软件；
• 实施网络隔离策略，防止一机双网、外网设备接入内网；
• 建立完善的应急响应机制；
• 定期进行安全培训，提升员工安全意识；
• 重视系统兼容性，避免因补丁导致系统崩溃。

附录简要

• 重大攻击事件：包括WannaCry、类Petya、MCR等，影响范围广泛。
• WannaCry技术详解：分析了其传播机制、攻击流程及防御措施。
• 防御解决方案：360提供了一系列防御方案，包括反勒索服务、云端免疫、数据流分析等。

总结

2017年勒索软件攻击呈现全球性、多样化和高破坏性特点，尤其对政企机构和关键信息基础设施造成严重威胁。攻击方式包括服务器入侵、漏洞利用、软件供应链攻击等，受害者多为普通职员和企业用户。虽然支付赎金是恢复文件的一种方式，但多数受害者选择不支付，主要基于对攻击者不信任、不愿纵容黑客行为和相信有恢复手段。WannaCry事件揭示了网络隔离和补丁管理的重要性，也推动了企业安全意识的提升。2018年勒索软件将更加复杂，防御技术将向自动化、智能化发展。