2024年上半年勒索攻击组织盘点

勒索软件（Ransomware）是一种极具破坏性的计算机恶意程序。近年来，它已成为全球组织机构主要的网络安全威胁之一，被攻击者作为牟取非法经济利益的犯罪工具。攻击者为增加受害方支付勒索赎金的概率和提升赎金金额，从仅恶意加密数据演变为采用“窃取文件+加密数据”双重勒索策略，更有甚者，在双重勒索的基础上增加DDoS攻击和骚扰与受害方有关的第三方等手段，演变为“多重勒索”。一旦遭受勒索软件攻击，组织机构的正常运营将受到严重影响，可能导致业务中断、数据被窃取和恶意加密。攻击者以数据恢复和曝光威胁受害方并勒索赎金。数据涵盖文档、邮件、数据库和源代码等多种格式文件；赎金可采用数字货币进行支付，如比特币、门罗币和以太币等。攻击者通常设定赎金支付期限，并随时间推移提高金额。有时即使支付赎金，被恶意加密的文件也无法得到完全恢复。

勒索攻击组织利用多种手段公开受害方的敏感信息，并以此为威胁，迫使受害方支付赎金或满足其他非法要求，以避免其数据被进一步泄露或出售。 据不完全统计，截至2024年上半年，至少有62个不同名称的组织曾发布过受害方信息，其中20个是2024年新出现的勒索攻击组织，这些攻击组织已经发布超过2700个来自不同国家和地区的受害方信息，涵盖医疗保健、公共管理、社会保障、金融、能源、制造和教育等多个关键行业。 实际受害方数量可能更多，因为攻击者出于某些原因可能选择不公开或删除信息，例如在与受害方进行协商谈判并达成一致后，或者受害方支付了赎金以换取信息的删除。勒索攻击组织相关信息可见计算机病毒百科^[1]。

回顾2024年上半年发生的勒索攻击事件，对活跃的勒索攻击组织进行盘点，包括组织基本信息和相关攻击事件，按组织名称首字母排序，排名不分先后。继以来，多数组织仍“榜上有名”，此前恶贯满盈的勒索攻击组织在3月隐退后“落榜”。

勒索攻击通过加密和窃取数据，对个人、企业和关键基础设施造成严重危害，包括经济损失、社会系统瘫痪、关键基础设施风险、数据泄露风险、产业安全威胁、公共服务中断、企业信誉受损、法律责任以及人员安全风险。随着攻击手法的不断进化，勒索攻击已成为全球网络安全的主要威胁之一，需要各方加强防护和应对措施，以保障数据安全和系统稳定运行。

表 3‑1 2024年上半年影响较大的勒索攻击事件

多数受害方在已经建立基础网络安全防护体系的情况下，还是未能幸免，其原因是目前对勒索攻击的防范，往往还停留在原有的勒索软件的阶段，还有许多人没有意识到勒索攻击已经是由持续定向入侵、窃取数据、加密数据瘫痪系统、勒索金钱、挖掘数据关联价值二次利用、贩卖数据、向监管机构举报、公开窃取数据所构成的一条侵害链，而且已经形成了一个规模极为庞大的犯罪产业。在这样的背景下，遭遇勒索攻击的风险已经不是简单的以数据损失和业务暂停为后果的形态，而是要付出失窃的所有数据均会被贩卖、公开等一系列的连锁风险。

不断出现的各类重大安全威胁事件，容易产生类似最应重点防范勒索攻击还是APT攻击一类的疑惑。从水平上看，少数勒索攻击的前导攻击部分的水平，已经接近超高能力网空威胁行为体的APT攻击水准，而且勒索攻击将比APT攻击带来更直接和快速的经济损失与显性的机构信誉影响。定向勒索攻击确实是APT能力+勒索行为的结合体。但从另一角度看，由于勒索攻击组织必然要在一个相对短周期获益，其并无APT攻击者那样必须突破中心目标的关键意志力，其在长期潜伏、持久化和隐蔽作业方面，不会表现出APT攻击者的战略耐心。所以对每一个政企机构来说，其资产人员暴露面，一方面必然同时面对者多种攻击组织，但其可能遭遇的最高烈度或水平的攻击的判断，需要基于将其综合业务资产价值放到复杂的社会安全和地缘安全的背景下进行想定判断。

但必须指出的是，对大量机构来说，目前存在的并非在防御重点是APT攻击还是勒索攻击的选择问题，而是尚未完成防御基本面建设的问题。针对各种复杂的组合攻击，都需要防御层次的展开，都不存在“一招鲜，吃遍天”，所有资源、人力、策略投入的弹性调整，其前提都是已经完成了防御基础能力建设的基本动作，基本形成了动态综合、有效闭环的防御体系。这才能做到针对威胁变化实施针对性布防。可以说防御体系如能有效防御APT攻击，那么也能有效防御定向勒索攻击。

面对定向勒索乃至APT级定向攻击，最终在主机系统侧达成作业目的现实情况，需要构建面向端/云/网多层次和实战化的勒索纵深防护方案，最大程度降低用户遭受勒索攻击的风险。通过强化全主机系统防护的基石作用，增强网络侧监测、分析和情报生产，依托XDR平台进行统一运营和响应编排，整体提升面向勒索攻击防护的自动化闭环运营能力，借助演练服务验证和提升勒索防治能力。

构建端/云/网多层次、实战化的勒索纵深防护方案

• 强化全主机系统防护的基石作用

在全主机系统侧通过防护勒索攻击落地、执行、致效这三个关键环节，强化主机系统侧执行体治理能力，融合主机系统侧业务场景，降低用户遭受勒索攻击的风险。

强化终端防护。安天智甲终端防护系列产品内置安天下一代威胁检测引擎，精准查杀勒索病毒。基于内核级主动防御能力，构建了细粒度和多层次勒索防护边界，即系统加固、（主机）边界防御、扫描过滤、主动防御、文档安全五个防御层次。基于勒索攻击行为监测，第一时间感知和阻断勒索攻击。

加强云负载防护。安天睿甲云负载防护系列产品基于一个探针弹性组合多种安全能力，提供面向业务的零信任建设，基于自动化关联入侵检测事件和勒索攻击行为监测，第一时间感知和阻断勒索攻击。基于身份ID的应用级微隔离，精细化管控并遏制勒索攻击横向移动，降低遭受勒索攻击的失陷风险。

• 增强网络侧监测、分析和情报生产

通过安天捕风蜜罐系统塑造欺骗式防御环境，有效感知勒索攻击行为，快速发现勒索攻击事件并生产情报，联动其它系统响应勒索攻击。

基于安天探海威胁检测系统增强网络流量监测与响应，集成恶意代码检测引擎、网络行为检测引擎、命令与控制通道检测引擎等多维度检测能力，感知勒索攻击行为，结合旁路阻断和情报生产，与其它系统联动完成处置。

安天追影威胁分析系统基于细粒度勒索行为触发，为安天探海威胁检测系统生成检测规则并本地生产情报，同时网内其它业务或安全系统可向追影投递文件，实现安全性判定和勒索行为揭示。

• 统一运营和响应编排，提升自动化闭环运营

以安天可扩展威胁检测响应平台XDR为核心，强化统一运营和响应编排。通过配置自动引接安天产品和第三方安全产品的异构日志，融合端/云/网/业务/身份数据分析，形成高置信和高价值告警。基于自动分析和关联高价值事件链，提供面向勒索攻击场景的风险检测和杀伤链还原。面向业务场景，安全运营人员可借助预置剧本和自定义预案配置，对勒索攻击入口和执行行为达成精细化管控和响应。以“人在闭环上”的持续运营模式，提升针对勒索攻击的自动化闭环运营能力。

• 开展勒索防治演练，检验和提升勒索防治能力

以保障业务稳定运行为前提，采用“模拟勒索攻击+选取真实勒索病毒样本+组合典型勒索技战术”的方式开展勒索防治演练，结合业务场景完成验证设计、样本选取（抽取主流勒索病毒TOP 10家族形成样本集合）、环境搭建、验证评估、应急处置、取证分析、环境清理等工作，全面验证面向实战化勒索攻击的防治能力，帮助管理人员和安全运营人员对勒索攻击方式、攻击路径和使用资源等形成直观认识，发现业务场景存在的暴露面和可攻击面，围绕勒索防治能力建设和管理制度提出优化建议，提升针对勒索攻击事件的应急处置能力，降低潜在的经济和声誉损失。

https://www.virusview.net/

‍https://mp.weixin.qq.com/s/C33dR8D_EIot6TqFzDGyPQ‍

https://mp.weixin.qq.com/s/K1tb86Gy6V9GlrIb__ZM_g

https://mp.weixin.qq.com/s/Ncefpps86iVgesMmHSRaLg

https://mp.weixin.qq.com/s/4sPVG-nCFx1ba_3KMA49vw