2017 勒索软件威胁形势分析报告 360互联网安全中心 2017年12月20日 摘 要  2017年1-11月， 360互联网安全中心共截获电脑端新增勒索软件变种 183种，新增控 制域名 238个。全国至少有 472.5多万台用户电脑遭到了勒索软件攻击，平均每天约有 1.4万台国内电脑遭到勒索软件攻击。  在向 360互联网安全中心求助的勒索软件受害者中， Cerber、Crysis、WannaCry 这三大 勒索软件家族的受害者最多，共占到总量的 58.4%。其中， Cerber占比为 21.0%，Crysis 占比为 19.9%，WannaCry 占比为 17.5%。  2017年，勒索软件 的传播方式主要有 以下五种：服务器入侵传播、利用漏洞自动传播 、 邮件附件传播 、通过软件供应链进行传播和利用 挂马网页传播。  遭遇勒索软件攻击的国内电脑用户遍布全国所有省份。 其中， 广东占比最高， 为 14.9%， 其次是浙江 8.2%，江苏 7.7%。排名前十省份占国 内所有被攻击总量的 64.1%。  抽样调研显示 ，在遭到勒索软件攻击的政企机构 中， 能源行业是遭受 勒索软件 攻击最多 的行业，占比为 42.1%，其次是医疗行业为 22.8%，金融行业为 17.8%。  2017年，勒索软件的攻击主要呈现以下特点： 无C2服务器加密技术流行、攻击目标转 向政企机构、 攻击目的开始多样化、 勒索软件平台化运营、 境外攻击者多于境内攻击者。  2017年， 约 15%的勒索软件攻击是针对中小企业服务器发起的定向攻击， 尤以 Crysis、 xtbl、wallet、arena、Cobra等家族为代表。  2017年1月至 11月， 360反勒索服务共接到了 2325位遭遇勒索软件攻击的受害者求 助。调研数据显示，男性是最容易受到勒索软件攻击的对象，占比高达 90.5%，而女性 占比仅为 9.5%。  在向 360互联网安全中心求助的所有 勒索软件受害者中， IT/互联网行业 的受害者最多 ， 占比为 27.0%；其次是制造业，占比为 18.6%；教育行业占比为 14.8%。  从求助的受害者 工作职位来看，普通职员超过受害者总数的一半以上，占 51.8%，其次 是经理、高级经理，占 33.0%，企业中、中高管理层，占 13.4%，CEO、董事长、总裁 等占比为 1.8%。  从求助的受害者文件感染类型可以看出， 87.6%是受害者电脑上的办公文档被感染，其 次，77.4%的图片文件被感染， 54.0%的视频文件被感染， 48.7%的音频文件被感染， 8.2% 的数据库文件被感染。  在求助的受害者中，已有 5.8%的受害者为了恢复文件而支付赎金，另外 94.2%的受害 者选择了拒绝为恢复文件而支付赎金。  2017年5月，影响全球的勒索软件永恒之蓝勒索蠕虫（ WannaCry ）大规模爆发 。它利 用了据称是窃取自美国国家安全局的黑客工具 EternalBlue （永恒之蓝）实现了全球范围 内的快速传播，在短时间内造成了巨大损失。  不同行业遭受永恒之蓝勒索蠕虫攻击的情况也有所不同， 工程建设行业是遭受攻击最多 的行业，占比为 20.5%，其次制造业为 17.3%，能源行业为 15.3%。  本次报告还总结了 勒索软件 攻击与应急响应的 十大典型案例， 其中五个为永恒之蓝攻击 与响应典型案例，另五个为服务器入侵攻击与响应典型案例。  2018年勒索软件攻击趋势预测 ：从整体态势 来看， 勒索软件的质量和数量将不断攀升， 并且会越来越多的使用免杀技术 ；从攻击特点 来看， 勒索软件的自我传播能力将越来越 强， 静默期也会不断延长 ；从攻击目标 来看，勒索软件攻击的操作系统类型将越来越多 ， 同时定向攻击能力 也将更加突出 ；此外，勒索软件 造成的经济损失会 越来越大，受害者 支付赎金的数量也会越来越 多，但由于各种 原因，通过支付赎金恢复文件的成功率将大 幅下降。  在反勒索软件方面， 以下技术最有可能成为主流趋势：文档自动备份隔离保护 技术、智 能诱捕技术、行为追踪技术、智能文件格式分析技术和数据流分析技术等。 对于企业级 用户来说， 云端免疫技术、密码保护技术 等也将起到 至关重要 的作用。 目 录 研究背景 ................................ ................................ ................................ ................................ ........... 1 第一章 勒索软件的大规模攻击 ................................ ................................ ................................ ..... 2 一、 勒索软件的攻击量 ................................ ................................ ................................ ............ 2 二、 勒索软件的家族分布 ................................ ................................ ................................ ........ 3 三、 勒索软件的传播方式 ................................ ................................ ................................ ........ 4 四、 勒索软件攻击的地域 ................................ ................................ ................................ ........ 5 五、 勒索软件服务器分布 ................................ ................................ ................................ ........ 6 六、 勒索软件攻击的行业 ................................ ................................ ................................ ........ 6 七、 勒索软件的攻击特点 ................................ ................................ ................................ ........ 7 第二章 勒索软件受害者特征分析 ................................ ................................ ............................... 10 一、 受害者的求助情况 ................................ ................................ ................................ .......... 10 二、 受害者的基本特征 ................................ ................................ ................................ .......... 10 三、 受害者的感染情况 ................................ ................................ ................................ .......... 12 四、 赎金支付与支付方式 ................................ ................................ ................................ ...... 14 五、 影响赎金支付的因素 ................................ ................................ ................................ ...... 15 六、 恢复感染文件的方法 ................................ ................................ ................................ ...... 16 第三章 WANNACRY 勒索软件的大规模攻击 ................................ ......