2016年-数据局_360：2016敲诈者木马威胁形势分析报告年度_30页_3mb

报告摘要

2016年敲诈者病毒威胁形势分析报告总结

核心内容

敲诈者病毒定义：敲诈者病毒是一类通过加密用户系统、屏幕或文件，要求支付赎金的木马程序。其传播方式多样，且在2016年达到攻击高峰。
攻击规模：2016年1月1日至11月29日，360互联网安全中心共截获113种新增敲诈者病毒变种，涉及样本16.7万个，全国至少有497多万台用户电脑遭受到攻击。
攻击高峰：2016年9月至10月中旬是敲诈者病毒攻击的高峰时期。
主要家族：Cerber、Locky、XTBL是当前最主流的三大敲诈者病毒家族，其中Cerber占比最高，为48.0%。
传播方式：主要通过网页挂马、邮件附件和服务器入侵三种方式进行传播。
攻击对象：81.1%的受害者为普通个人用户，18.9%为企业用户。普通职员是受攻击最多的群体，占比达51.1%。
地域分布：广东、江苏、山东、浙江、河北、河南、上海、辽宁、安徽、福建是受攻击最严重的省份，排名前十的省份占总量的60.6%。
攻击途径：42.6%的受害者不清楚感染途径，21.8%是通过浏览陌生网页感染，11.9%是通过下载软件感染，8.9%是通过点击邮件附件，5.0%是通过U盘传播，3.5%是通过开启3389端口。
文件类型：94.6%的受害者电脑上的办公文档被感染，88.1%认为办公文档是损失最大的文件类型。
支付赎金：11.9%的受害者支付了赎金，其中58.4%通过淘宝平台，33.3%按病毒提示付款，8.3%请朋友帮忙支付。70.8%的受害者最终成功支付赎金并恢复文件。
拒绝支付原因：39.9%的受害者不相信支付后会解密，24.7%不想纵容黑客，10.7%相信有恢复工具，5.6%有备份文件，5.6%不知道如何支付，4.8%认为赎金过高。
恢复方式：26.5%通过360解密工具，17.6%通过历史备份，41.2%通过支付赎金恢复文件。
清除方法：48.4%的受害者通过重装系统清除病毒，18.3%通过安装安全软件查杀，11.8%直接删除中毒文件，21.5%未采取任何处理措施。
危害与不可解性：敲诈者病毒采用不对称加密，理论上无法破解，除非支付赎金。但部分非常规病毒可通过技术手段解密。
应对措施：360推出了“反勒索服务”和“天擎企业级百万敲诈先赔服务”，以帮助用户支付赎金并恢复文件。

主要观点

敲诈者病毒在2016年呈现出爆发式增长，攻击方式更加隐蔽和多样化。
男性是主要受害群体，而企业用户虽然占比不高，但更倾向于主动寻求帮助。
攻击主要集中在办公文档、图片、视频和音频文件上，这些文件往往包含重要数据。
支付赎金的用户大多通过淘宝平台或按病毒提示进行支付，但成功率不一。
未安装安全软件的用户更容易感染病毒，且在支付赎金后可能无法成功恢复文件。
360反勒索服务和天擎企业级百万敲诈先赔服务为用户提供了重要的安全保障。

关键信息

攻击高峰：9月至10月是攻击高峰期，单日拦截次数超过2万次。
传播方式：网页挂马、邮件附件、服务器入侵是主要传播方式，其中网页挂马占主导。
主要漏洞：IE和Flash漏洞是主要攻击载体，尤其是CVE-2014-6332和CVE-2016-0189。
支付方式：比特币是最常用的赎金支付方式，但部分病毒也使用信用卡、支付宝等其他方式。
安全建议：用户应安装具有云防护和主动防御功能的安全软件，及时更新系统补丁，避免访问不良信息网站，谨慎处理邮件附件和U盘文件。
企业应对：360天擎企业级百万敲诈先赔服务为政企用户提供赎金赔付保障，但需满足一定条件。

附录亮点

重大攻击事件：包括印度银行、好莱坞长老教会、美国多所学校、某央企等案例，展示了敲诈者病毒对企业和机构的严重威胁。
非常规病毒：如Voldemont、Cerber3、一元钱敲诈者病毒、Popcorn Time敲诈者病毒等，这些病毒具有独特的攻击方式，部分可以通过技术手段解密。
360反勒索服务：用户需同时开启文档保护和反勒索服务，才能享受最高3个比特币的赔付。
天擎企业级百万敲诈先赔服务：企业用户在开启该服务后，若感染敲诈者病毒，360将提供最高100万元人民币的赔付。