2021上半年勒索病毒趋势报告及防护方案建议

前 言

2017 年 5 月 12 日，WannaCry 勒索病毒通过 MS17-010 漏洞在全球范围爆发，形成一场影响全球的蠕虫病毒风暴。伴随当前 AI、物联网、区块链、工业物联网等新技术的飞速发展，以及各类加密数字货币在全球市场持续火爆，勒索病毒也持续高发，很多全球知名企业都曾因勒索病毒导致经济和声誉损失。勒索病毒也因此已成为近年来网络安全主要的威胁之一。

勒索病毒从零星恶作剧发展到频繁发生的主要原因包括三点：第一，勒索病毒加密手段复杂，解密成本高；第二，使用电子货币支付赎金，变现快追踪难；第三，勒索软件服务化的出现，开发者提供整套勒索软件解决方案，从勒索软件的开发、传播到赎金收取都提供完整的服务。攻击者不需要任何知识，只要支付少量的租金就可以开展勒索软件的非法勾当，大大降低了勒索软件的门槛，推动了勒索软件大规模爆发。

为了帮助更多企业和机构了解和尽可能规避勒索病毒的危害，腾讯安全联合南方都市报以安全事件告警工单数据为基础，基于勒索病毒的起源与演变，从数据概览、入侵特点、攻击手段、活跃家族排行榜等维度，剖析过去半年勒索病毒的攻击形势，通过分析勒索病毒的攻击路径及案例盘点，为广大个人用户防范信息泄露风险提供实用建议。

一、勒索病毒攻击最新趋势盘点

1.1 2020/2021 勒索病毒 1-4 月攻击态势对比

2021 年，勒索病毒攻击态势在春节期间降至最低，观察其攻击态势，2021年相比去年同时期稍有下降。但勒索事件仍然频发，勒索金额屡创新高，勒索攻击愈发具备针对性。

1.2 2021 年 Q1 最流行的勒索病毒家族：GlobeImposter、Phobos、Crysis、Sodinokibi、Buran、Medusalocker、Avaddon、Lockbit、Ryuk、NEMTY。

1.3 1-4 月勒索病毒受灾地域分布：国内遭受勒索病毒攻击中，广东，浙江，山东，湖北，河南，上海，天津较为严重，其它省份也有遭受到不同程度攻击。

1.4 1-4 月勒索病毒攻击行业分布：从勒索病毒感染行业来看，数据价值较高的传统行业、医疗、政府机构遭受攻击较为严重，占比依次为 37%、18%、14%，总计占比高达 69%。

二、 十大典型勒索病毒案例分析

2.1 全球超 150 个国家和地区遭 WannaCry 攻击，损失高达数十亿美元

2017 年 5 月 12 日晚，一场被命名为“WannaCry”的勒索病毒攻击首先在英国爆发，并以“蠕虫式”的传播速度迅速蔓延至全球 150 多个国家和地区（幸免国家要么没有电脑，要么没有网络）。“你的电脑已经被锁，文件已经全部被加密，除非你支付价值 300 美元的比特币，否则你的文件将会被永久删除”的锁定桌面，瞬间感染波及全球近 20 万电脑设备。全球多地发出告警，短短两日内，包括政府、医疗、学校甚至是公益机构在内的多个板块的大量电脑文件被加密，并均受到要求支付比特币以解密文件的威胁。

业内专家评称，修正了“永恒之蓝(EternalBlue)”的漏洞，同时发现了允许停止执行恶意软件的“杀死开关”，是帮助减缓这一恶意活动的两个主要贡献。然而，高达数十亿美元的损失总额，实为在全球范围内引发了史无前例的震动。

2.2 美国波音工厂遭 WannaCry 攻击，导致自动化组装生产线被迫停工

2018 年 3 月，据外媒报道，美国波音飞机位于南卡罗来纳州查尔斯顿的生产工厂遭到 WannaCry 勒索病毒攻击，导致 777 翼梁自动化组装生产线被迫停工，是 2018 年首例被媒体披露的 WannaCry 勒索病毒攻击事件。攻击者向波音索要价值 300 美元的比特币作为赎金以恢复数据和业务。

鉴于对攻击迅速转移态势的分析与担忧， 波音公司总工程师 Mike VanderWel 第一时间在全公司范围内发布了相关备忘录，要求全体员工做好应对措施，避免病毒以攻击功能飞机测试设备为跳板，实现对飞机系统软件直接扩散、蔓延情况的发生。波音在对外声明中称，网络安全中心发现仅有少数设备系统遭到了入侵并已展开补救，且不影响生产交付。

2.3 台积电芯片制造基地遭遇勒索病毒攻击，损失超 17 亿元

2018 年 8 月，全球知名半导体厂商台积电营运总部和新竹科学园区的 12英寸晶圆厂电脑被曝遭到勒索病毒攻击，造成竹科 FAB 12 厂、南科 FAB 14 厂、中科 FAB 15 厂等三处主要高端生产基地的生产线短短几小时内全数停摆，直接导致台积电股价下跌，直接经济损失高达 17 亿元人民币。

从 2017 年到 2018 年，以 WannaCry 为首的勒索病毒攻击已经跳脱了对仅限于核心业务文件的加密，转而向企业服务器和业务系统的攻击拓展。通过感染企业关键系统，破坏企业日常运营，从而带来动辄停产的直接后果。

2.4 全球最大助听器制造商 Demant 遭勒索病毒攻击，损失高达9500 万美元

2019 年 9 月，据外媒报道，全球领先的助听器制造商的迪曼特集团（Demant）遭遇 NotPetya 勒索软件攻击。尽管该公司已经备份了数据，但攻击的规模似乎对其恢复具有重大影响。该公司的 IT 基础架构受到网络攻击的影响，其通过关闭多个站点和业务部门中的 IT 系统来限制事件的进一步发酵，但是整个价值链的关键业务流程仍然受到事件的影响，包括研发、生产和分销。这些中断的累积影响将对该公司 2019 全年造成高达 6 亿人民币的负面财务影响，该公司的之前购买的保险为公司减少了一部分损失。Demant 预计，本次直接损失将达 5000 万人民币。

据了解，该勒索病毒团伙曾导致航运巨头马士基和快递服务联邦快递等公司各自遭受超过 3 亿美元的损失。

2.5 法国最大商业电视台 M6 Group 惨遭勒索软件洗劫，集体被迫“罢工”

2019 年 10 月，法国最大商业电视台 M6 Group 惨遭勒索软件洗劫，公司电话、电子邮件、办公及管理工具全部中断，集体被迫“罢工”。事件发生后，其他电视台已禁止员工通过电子邮件与 M6 进行通信，以免受到感染。而此次事件很有可能是黑客使用了网络钓鱼电子邮件或利用了未打补丁的软件，从而使电视台网络被勒索软件感染至扩散。M6 集团在公开领域并未透露攻击者信息及是否交付巨额赎金。

2.6 自动化设备生产巨头皮尔兹遭勒索攻击，网络被迫中断网络超一周

2019 年 10 月，全球最大的自动化工具生产商之一皮尔兹（Pilz）遭受BitPaymer 勒索软件攻击，该公司在全球范围内的所有服务器和 PC 工作站，包括通信设施，都受到了影响，公司被迫关闭其网络。Pilz 员工花了三天时间才恢复对其电子邮件服务的访问权限，又花了三天时间恢复国际电子邮件服务，直到一周后才恢复对产品订单和交货系统的访问。该企业对外声称，其生产能力没有受到影响，但是无法检查订单，并且生产速度较慢。

2.7 佳明遭勒索软件重创：业务瘫痪产线停运，被勒索千万美元赎金

2020 年 7 月，健身追踪器、智能手表和 GPS 产品制造商 Garmin 遭受了WastedLocker 勒索软件的全面攻击，主要产品服务和网站均瘫痪，攻击者向Garmin 索要高达 1000 万美元赎金，威胁要删除服务器上的所有数据。

从目前已知的情况看，这次攻击是一次黑客组织长期策划、筹备的针对性攻击。甚至存在一种更糟糕的可能性：黑客组织很可能在实施勒索病毒攻击之前，已经将佳明的用户数据盗取，佳明想要恢复用户的云端数据，只能接受黑客组织的威胁。否则将因用户隐私数据泄露造成更大的损失。

2.8 佳能遭 Maze 勒索软件攻击，2.2GB 美国公司数据被“撕票”泄露

2020 年 8 月，著名数码摄像机厂商佳能(Canon)被曝遭受 Maze 团伙勒索攻击，影响电子邮件、微软团队、美国网站及其他内部应用程序。其中，佳能image.canon 云照片和视频存储服务的可疑中断，导致其免费 10GB 存储功能的用户丢失数据。由 BleepingComputer 消息称，佳能经历了“影响多个应用程序、团队、电子邮件和其他系统的广泛传播的系统问题，目前可能不可用”。

随后，Maze 因未收到赎金，在暗网泄露了佳能大约 2.2GB（据 Maze 团伙称仅为所有窃取数据的 5%。）的美国公司营销数据和视频文件，从而导致佳能部分内部系统中断。但佳能全球网站和电子商务网站等在内的其他资产似乎不受影响，这意味着佳能的网络安全措施有效防止了勒索软件损失的扩大化。同时，也在一定程度上，反映了传统“支付赎金”的应对策略正在失效。

2.9 富士康工厂遭勒索攻击：上千台服务器被加密，索要 3400 万美元赎金

2020 年 11 月，全球最大电子制造公司之一——富士康位于墨西哥的华雷斯城 CTBG MX 工厂设施被曝遭受“DoppelPaymer”勒索软件攻击，导致1200 台服务器被加密。据悉，攻击者在对设备进行加密前已窃取了 100GB 的未加密文件（包括常规业务文档和报告，但不可苦熬任何财务及员工个人信息），并删除了 20-30 TB 的备份。随后，攻击者发布了一个指向 DoppelPaymer 付款站点的链接，要求富士康支付 1804.0955 比特币作为赎金（约 3486.6 万美元，约 2 亿元人民币）），否则将把盗取数据在暗网出售。

随后，富士康对外声称，其网络安全团队已经完成了软件和作业系统的安全更新，并且提升了安全防护等级，受到影响的厂区网络已经逐渐恢复正常。

2.10 台湾 PC 巨头宏基(Acer)遭勒索攻击，赎金创 5000 万美元新纪录

2020 年 3 月，台湾 PC 巨头宏基(Acer）遭到勒索病毒组织 REvil 的网络攻击，并被索要支付高达 5000 万美元的赎金，刷新了勒索病毒有史以来的最高赎金纪录。同时，攻击者还在网站上公布了从宏碁窃取的部分财务电子表格、银行结余和银行往来邮件等数据，并提出只有支付赎金，才能提供解密工具、漏洞报告以及删除盗取的文件；此外，还对宏碁发出了“不要重蹈 SolarWind 覆辙”的含糊警告。

据外媒 BleepingComputer 分析，REvil 可能是通过瞄准宏碁域名上的一台Microsoft Exchange 服务器上的漏洞，才得以成功发动了此次攻击，这也是针对大型目标实施勒索软件攻击的首次做法。目前，因宏碁并未支付赎金，REvil 已在暗网出售宏碁财务表格、银行结余、银行通讯文档等机密资料。

三、 勒索病毒攻击分析

3.1 勒索病毒产业链中的五大关键角色

随着勒索产业的迅速发展壮大，通过围绕数据加密，数据泄露，乃至诈骗等核心元素展开的网络勒索类型也是千姿百态。网络勒索具有匿名性、隐蔽性、便捷性等特点，深受黑产青睐。其中典型的勒索病毒作案实施过程如下，一次完整的勒索可能涉及 5 个角色（一人可能充当多个角色）。

3.2 传播技术手段

总结市面较为高发的勒索病毒特征，可大致将勒索病毒的传播手段分为 6 个方向：弱口令攻击；U 盘蠕虫；软件供应链攻击；系统/软件漏洞；“无文件”攻击技术；RaaS。

3.3 勒索病毒的常规攻击路径

第一步：入侵。惯用手法：RDP 爆破、SQL 弱口令爆破，网络钓鱼，恶意电子邮件（包括垃圾邮件广撒网与精准定向投放 ）及恶意附件投递（包括 Office 漏洞、Flash漏洞、PDF 阅读器漏洞等），高危漏洞利用，无文件攻击等。也有部分勒索黑客会利用僵尸网络控制的肉鸡渠道分发。

第二步：扩散。勒索黑客入侵某一台主机之后，往往并不立即运行勒索病毒，而是尽可能的利用各种攻击手法在目标网络横向扩散以增加受控主机数量。勒索黑客在此阶段会通过下载各种攻击工具包，包括流行漏洞利用工具、密码提取工具、远程控制木马或后门、下载密码字典继续使用爆破入侵等等。

第三步：盗窃。攻击者会遍历已攻陷主机数据，筛选最有价值的攻击对象，窃取受控主机数

据。勒索病毒团伙在利用多种技术手段入侵目标系统后，会留置后门、安装多种远程控制软件（如 TeamView 破解版、RemoteUtilities 商业远控软件破解版、RemcosRAT、AgentTesla、SnakeKeylogger、AsyncRAT、Nanocore 等商业木马），勒索黑客会使用此类工具将失陷网络的机密数据上传到该团伙控制的服务器上。

第四步：勒索。下载一种或多种勒索病毒运行，瘫痪目标网络，留下勒索信件，在暗网渠道发布失陷企业数据，实施勒索。

3.4 勒索病毒主要攻击特征：针对企业用户定向攻击；以 RDP 爆破为主；更多使用漏洞攻击；入侵企业内网后横向渗透。

四、 勒索病毒未来发展趋势

4.1考虑到未来一段时间，PC 电脑上价值最高的依然为用户数据，故勒索病毒依然为用户面临的主要安全威胁之一；

4.2 企业用户数据价值较高，且内网环境复杂，依然是勒索病毒的重点攻击对象；

4.3 随着技术的普及、勒索病毒产业链的成熟，黑客加入勒索病毒的门槛越来越低，因此勒索病毒有可能变得更多样、更新更频繁；

4.4 目前受到的勒索病毒攻击主要是 windows 系统，但是管家也陆续发现了MacOS、Android 等平台的勒索病毒，随着 windows 的防范措施完善，将来黑客也可能转向攻击其他平台。

4.5 由于勒索病毒和挖矿木马的攻击方式和传播渠道几乎完全一样，目前已有不法黑客，如 Satan 病毒团伙，同时采用勒索病毒和挖矿木马双重攻击，给用户带来更大的损失。

五、 防御方案建议

A、定期进行安全培训，日常安全管理可参考“三不三要”思路

1.不上钩：标题吸引人的未知邮件不要点开

2.不打开：不随便打开电子邮件附件

3.不点击：不随意点击电子邮件中附带网址

4.要备份：重要资料要备份

5.要确认：开启电子邮件前确认发件人可信

6.要更新：系统补丁/安全软件病毒库保持实时更新

B、全网安装部署终端安全管理软件，推荐企业用户使用腾讯零信任无边界访问控制系统（iOA），个人用户使用腾讯电脑管家。同时，针对一些大中型企业，我们建议采用腾讯高级威胁检测系统（NTA）监测内网风险，企业管理员可以通过这些安全解决方案及时发现内网入侵风险，及时封堵弱点，修补漏洞，避免重要业务系统被勒索病毒破坏。

企业客户可通过订阅腾讯安全威胁情报产品，让全网所有安全设备同步具备和腾讯安全产品一致的威胁发现、防御和清除能力。

C、建议由于其他原因不能及时安装补丁的系统，考虑在网络边界、路由器、防火墙上设置严格的访问控制策略、软件限制策略，以保证网络的动态安全。

D、建议对于存在弱口令的系统，需在加强使用者安全意识的前提下，督促员工停止使用弱密码，或使用安全策略来强制规定密码长度和复杂性。

E、对网络资产进行核查，如果存在一些非必要开启的网络服务或端口，可以按照最小权限原则进行关闭或禁用，最大程度减少黑客入侵的攻击面。

F、企业应建设、培养专业的网络安全管理人才建设，密切关注网络安全动态，与安全厂商展开良好互动，仅仅依靠安全软件就解决网络风险是难以想像的，安全攻防需要长期的技术投入和人员投入。

G、建议对重要的网络服务进行远程访问策略配置、对管理节点进行限制，只限定允许的 IP 地址访问管理后台。数据库服务避免使用弱密码，配置最大错误登录次数，防止远程黑客进行暴力破解。

详见报告原文。

报告原文：2021上半年勒索病毒趋势报告及防护方案建议

编辑：帮主黄蓉