2025勒索软件攻击态势报告_30页_2mb

报告摘要

2025 勒索软件攻击态势总结

核心内容

2025年勒索软件攻击态势持续升级，攻击数量较2024年增长24%，呈现出技术手段多样化、攻击模式智能化、商业模式产业化的发展趋势。攻击活动在2月、3月和11月出现三次显著爆发高峰，其中3月达到全年峰值，共890次攻击。攻击者通过多种方式获取初始访问权限，并利用自动化工具、云基础设施和AI技术提升攻击效率与隐蔽性。

主要观点

攻击频次上升：全年勒索攻击数量持续增长，攻击活动呈现明显的月份集中趋势。
地域与行业分布：北美、欧洲、亚洲是主要受害地区，美国占比最高（约53%）。制造业、专业法律服务和批发零售业是受攻击最严重的行业。
入侵方式转变：凭证窃取（27.78%）和钓鱼/社工（26.67%）成为主要入侵方式，取代了传统漏洞利用。
防御规避手段升级：攻击者广泛使用LoTL（Living off the Land）策略，利用系统自带工具进行隐蔽攻击。
加密技术优化：主流勒索软件采用AES系列与ChaCha20流密码，结合RSA和椭圆曲线加密算法，以平衡效率与安全性。
运营模式多元化：勒索组织向卡特尔联盟转型，形成资源、技术与市场深度绑定的垄断格局。同时，EaaS（勒索即服务）模式兴起，降低攻击门槛，推动勒索活动产业化。
施压手段升级：勒索软件引入监管合规胁迫模式，将数据泄露事件升级为合规丑闻，增加企业妥协压力。
漏洞武器化加速：关键漏洞从披露到被利用的周期大幅缩短，攻击者快速响应并利用漏洞实施攻击。
生态碎片化加剧：执法打击导致大型组织衰落，小型团伙快速崛起，形成高度分散且具有韧性的犯罪网络，提升了攻击归因与溯源难度。
攻击工业化演进：攻击流程趋向自动化，基础设施云化，推动勒索攻击向标准化、流程化的生产模式发展。

关键信息

勒索攻击频次分析

全年攻击数量较2024年增长24%。
2月、3月、11月出现三次大规模攻击高峰，3月为全年峰值。
CLOP在5月前占据月度最活跃组织榜首，Qilin自5月起成为主导力量。

受害地域分布

北美、欧洲、亚洲为攻击最集中地区，美国受害者数量占全球总量的53%。
攻击更倾向于经济发达、高度数字化的国家和地区。

受害行业分布

制造业（18.7%）、专业法律服务（15.6%）、批发零售业（9.63%）为前三受害行业。
信息技术、医疗健康、金融保险等行业同样面临较高威胁。

技术与攻击手法

凭证窃取成为主要入侵方式，其中VPN、域账户、RDP是最常被利用的入口。
LoTL（Living off the Land）策略广泛使用，攻击者利用合法工具实施隐蔽攻击。
加密算法优化，主流采用AES与ChaCha20流密码，结合RSA与椭圆曲线算法，提升加密效率与安全性。
多线程与双密钥机制提升加密速度与强度，如Gunra支持100个并发线程，RansomHouse采用双密钥加密。

运营与商业模式

卡特尔联盟形成，如DragonForce与LockBit、Qilin结盟，共享资源与市场。
EaaS（勒索即服务）模式兴起，提供数据泄露网站发布与赎金谈判支持。
合规胁迫成为新趋势，攻击者通过威胁泄露数据引发监管追责。

攻击发展趋势

AI全面赋能：AI用于生成攻击脚本、规避EDR、优化加密策略。
漏洞武器化速度加快：漏洞从披露到被利用周期缩短至数小时，攻击者快速响应。
勒索生态碎片化：小型团伙快速崛起，形成分散但韧性强的犯罪网络。
攻击工业化演进：攻击流程趋向自动化，云基础设施被广泛使用，推动规模化复制。

附录概览

年度勒索大事件

1月：Qilin攻击澳大利亚货代公司，窃取22GB数据。
2月：Medusa攻击英国护理集团，窃取2.275TB数据。
3月：Qilin攻击美国媒体公司，导致系统瘫痪。
4月：RansomHouse攻击南非移动运营商，影响770万用户。
5月：Everest攻击可口可乐公司，泄露959名员工信息。
6月：Chaos攻击美国税务咨询公司，泄露69GB客户数据。
7月：Akira攻击俄罗斯酒类零售商，导致系统关闭。
8月：Qilin攻击药物研发公司，窃取176GB研究数据。
9月：HardBit攻击柯林斯宇航，导致机场运营中断。
10月：Qilin攻击大众汽车，窃取150GB敏感数据。
11月：Qilin攻击日本啤酒公司，造成产品短缺。

新兴活跃勒索组织

Benzona：首次出现于2025-11，使用网络钓鱼和凭证攻击，针对Windows平台，采用AES-256加密，后缀为.benzona。
BERT：首次出现于2025-04，使用.NET编写，针对Windows、Linux和VMware ESXi，采用ChaCha20 + Curve25519加密，后缀为.encryptedbybert。
DATAcARRY：首次出现于2024-12，使用Go语言，针对Windows，采用AES-256和RSA加密，后缀为.datacarry。
Devman：首次出现于2025-04，使用C++和Rust编写，针对Windows、Linux和VMware ESXi，采用AES-256和RSA加密，后缀为/devman、.devman1。
Gunra：首次出现于2025-04，使用C++编写，针对Windows、Linux和VMware ESXi，采用ChaCha20 + RSA加密，后缀为.ENCRT。
InterLock：首次出现于2025-09，使用Rust编写，针对Windows、Linux和VMware ESXi，采用AES + RSA加密，后缀为.interlock。