【360数字安全】2025年Kann勒索软件分析报告_25页_2mb

Kann勒索软件分析报告总结：

本报告概述了2024年勒索软件的总体趋势及针对Kann家族的专项技术分析。整体来看，勒索软件攻击呈现持续性特征，但未出现单一家族爆发性事件。国内及港台地区企业成为主要受害对象，金融、能源、IT等行业频繁遭遇攻击，部分知名企业因数据泄露面临赎金威胁。360安全云数据显示，2024年处理超2151起勒索攻击，拦截431亿次网络攻击，协助3996台设备解密。

Kann勒索软件采用混合加密策略，结合RC4与AES-CBC-256算法加密文件，再通过RSA4096对密钥进行二次加密。其加密流程包含：生成42位随机密钥（实际使用16位AES+8位RC4）、分段加密文件（<2MB跳过、2MB-100MB整体加密、>100MB分块处理）、调用system自带cipher工具彻底擦除文件数据空间。值得注意的是，该软件存在密钥生成缺陷，仅使用UTF16-LE编码的密钥一部分，使密钥暴力破解成为可能。

研究人员通过硬件加速实现解密突破：NVIDIA GeForce GTX1660Ti显卡可在10分钟内完成解密，Intel i9处理器需2-3小时。360解密大师已支持Kann及xmrdata变种解密，成功帮助受害者恢复数据。攻击者通常排除特定目录和文件类型（如Windows系统目录、VMware等），并尝试清理敏感进程（如GoogleCrashHandler、SecurityHealthService等）以破坏恢复环境。

安全防范建议包括：定期备份数据至隔离设备或云端，及时修补系统漏洞，警惕可疑邮件与附件，关闭不必要的远程服务，建立应急响应机制（断网隔离、收集日志、联系专业团队）。应急处置需排查感染时间、可疑样本、网络访问记录及账户安全，重点检查Web日志与数据库配置。此外，建议部署具备勒索防护功能的安全软件，实时监控异常行为。

报告提供了关键的IOC信息，包括多个哈希值及攻击者邮箱kanndata#tutanot.a.com。通过分析发现，攻击者刻意避开已有加密标志的文件（如Lock、DEVOS），可能因竞合关系导致加密冲突。数据解密成功依赖于密钥生成缺陷，但需注意未加密文件可能因其他勒索软件存在风险。

当前Kann勒索软件仍通过Web漏洞发起攻击，政企单位OA系统、财务软件成为主要入口。防御需强化系统补丁管理、限制远程访问权限，并部署多因素认证。尽管解密技术突破带来希望，但支付赎金仍非推荐应对方式，重点应放在事前防护与事中隔离。