360-2017勒索软件威胁形势分析报告（信息安全）-2017.12.20-79页-4mb

2017年勒索软件威胁形势分析报告总结

核心内容

2017年1月至11月，360互联网安全中心共截获183种勒索软件变种，新增控制域名238个。全国至少有472.5万台用户电脑遭受勒索软件攻击，平均每天约1.4万台。Cerber、Crysis、WannaCry三大勒索软件家族占据了总受害量的58.4%。

主要观点

• 攻击量增长：勒索软件攻击呈现全球性蔓延，攻击数量和质量显著提升。
• 攻击目标转变：从个人用户转向政企机构，尤其是中小企业服务器。
• 攻击方式多样化：包括服务器入侵、利用漏洞自动传播、软件供应链攻击、邮件附件传播和挂马网页传播。
• 攻击特点变化：无C2服务器加密技术流行、攻击目的多样化、勒索软件平台化运营、境外攻击者为主。
• WannaCry的影响：作为一款勒索蠕虫病毒，WannaCry利用永恒之蓝漏洞，造成全球范围内的广泛传播和重大损失。

关键信息

• 地域分布：广东、浙江、江苏为受害最严重的省份，占总受害量的64.1%。
• 行业分布：能源、医疗和金融是遭受攻击最多的行业，占比分别为42.1%、22.8%和17.8%。
• 受害者特征：男性占90.5%，IT/互联网行业受害最多（27.0%），普通职员占51.8%。
• 感染文件类型：办公文档感染率最高（87.6%），其次是图片（77.4%）、视频（54.0%）、音频（48.7%）和数据库（8.2%）。
• 赎金支付情况：仅有5.8%的受害者支付了赎金，94.2%的受害者拒绝支付。
• WannaCry传播机制：利用永恒之蓝漏洞，通过445端口传播，具有“自杀开关”特性，通过访问特定域名来判断是否继续传播。

攻击特点分析

1. 无C2服务器加密技术流行：勒索软件不再依赖C2服务器，使得攻击更加隐蔽。
2. 攻击目标转向政企机构：特别是中小企业，因其安全架构简单和赎金支付意愿强。
3. 攻击目的多样化：包括破坏数据、窃取信息等非金钱目的。
4. 平台化运营：勒索软件通过RaaS服务进行分发和管理，形成完整的产业链。
5. 境外攻击者为主：大多数攻击来自境外，国内攻击者技术水平较低。
6. 影响范围广：WannaCry等病毒影响了全球100多个国家，对关键信息基础设施造成严重破坏。

受害者特征分析

• 求助情况：2325位受害者中，5月为高峰期，主要受WannaCry影响。
• 性别分布：男性占比高达90.5%，女性仅占9.5%。
• 行业分布：IT/互联网行业受害最多（27.0%），其次是制造业（18.6%）和教育行业（14.8%）。
• 职位分布：普通职员占比最大（51.8%），其次是经理和高级经理（33.0%），中高层管理者（13.4%），企业高层（1.8%）。
• 感染途径：44%的受害者不知晓感染途径，20.4%因服务器被入侵，7.3%因开启3389端口。
• 文件恢复方式：支付赎金（30.8%）、历史备份（25.0%）、解密工具（23.1%）、专业人士破解（21.2%）。

Wannacry勒索蠕虫分析

• 传播方式：通过永恒之蓝漏洞，利用445端口进行横向渗透。
• 内网穿透原因：
  • 一机双网问题。
  • 缺陷设备被带出办公区并与互联网连接。
  • 协同办公网络未全隔离。
  • 防火墙未关闭445端口。
  • 办公网与生活网未隔离。
  • 外网设备分散无人管理。
• 管理与技术问题：
  • 安全意识薄弱，不重视预警和应急响应。
  • 安全管理措施不到位，未能有效执行。
  • 技术问题，如未打补丁、系统兼容性差、蓝屏风险等。

典型案例

• 大型能源机构：WannaCry导致生产系统瘫痪，通过断开445端口和部署免疫工具控制疫情。
• 全国联网机构：通过手动升级和阻断关键端口，成功避免感染。
• 某市视频监控系统：服务器被感染后，通过阻断445端口和系统还原恢复。
• 某大企业：提前预警并部署防护措施，避免感染。
• 新能源汽车厂商：工业控制系统因未部署安全措施而感染，耗时两个月清除。

2018年趋势预测

• 整体态势：勒索软件质量和数量将不断攀升，使用免杀技术增多。
• 攻击特点：自我传播能力增强，静默期延长。
• 攻击目标：攻击操作系统类型将多样化，定向攻击能力提升。
• 造成损失：经济损失将增加，赎金支付意愿上升，但恢复成功率下降。
• 防御技术趋势：文档自动备份、智能诱捕、行为追踪、智能文件格式分析、数据流分析、云端免疫、密码保护等将成为主流。

安全建议

• 个人用户：安装安全软件，定期备份文件，提高安全意识。
• 企业用户：加强网络安全建设，部署企业级安全软件，定期更新补丁，实施严格的访问控制和端口管理。

附录简要

• 重大攻击事件：包括MongoDB数据库被窃取、Elasticsearch被勒索、港珠澳大桥资料被加密等。
• WannaCry技术详解：包括传播方式、攻击流程、自杀开关机制等。
• 防御解决方案：如360安全卫士、360天擎、360勒索软件协同防御等。

总结

2017年勒索软件威胁显著增强，攻击方式和目标发生重大变化。WannaCry等病毒的爆发凸显了安全意识、管理和技术层面存在的诸多问题。未来勒索软件将更加复杂和隐蔽，企业与个人需加强安全防护措施，提高整体网络安全水平。