2025年勒索软件流行态势报告

第一章 勒索软件攻击形势

• 勒索软件概况
  • 勒索家族分布：Weaxor、LockBit和Wmansvcs是国内最流行的勒索软件家族，占处置量的58.4%以上。Weaxor通过Web漏洞利用成为攻击效率最高的方式，Wmansvcs则在国内通过远程桌面登录手动投毒进行传播。
  • 主流勒索软件趋势：Weaxor家族通过Web漏洞利用攻击成为攻击效率最高的方式，Wmansvcs家族接棒Phobos家族成为传统弱口令登录攻击方式的典型家族。漏洞利用传播量已非常接近远程桌面登录攻击方式。
  • 加密方式分布：主流勒索软件家族采用对称加密算法完成大规模文件数据加密，辅以非对称或椭圆曲线算法完成密钥保护的多级加密方案。RSA系列算法仍占主导地位，但Curve25519 / X25519等椭圆曲线算法明显增多。对称加密算法选择更加多样化，ChaCha20及其变体（如XChaCha20）成为最受青睐的替代方案。
• 勒索软件传播方式：远程桌面入侵和漏洞利用是勒索软件传播的主要手段，占总量近八成。其中，利用漏洞传播是Mallox家族的传统手段，Weaxor作为该家族的重塑版本，则很好地继承了这一传统。
• 多重勒索与数据泄露
  • 行业统计：服务业、制造业和建筑业是2025年受到双重/多重勒索攻击的主要行业。美国企业占比超过半数，中国企业占比约1.46%。
  • 国家与地区分布：美国机构的占比依然稳居全球首位，相较2024年度有小幅提升。美国机构常年位居榜首，一方面是由于美国网络发达且企业众多，同时也与其发达的云服务产业与设备托管业务有关。
  • 家族统计：参与双重/多重勒索活动的主要活跃勒索软件家族共计122个，Top10中的头部家族占比处于主导地位。未被列出的“其他”家族占比大幅提升，显示出了较为明显的“长尾”态势。
  • 逐月统计：总体有一定的波动，但并未出现较大规模的爆发现象。2月和10月后出现了两个较为明显的峰值。
  • 数据泄露的多重影响：数据泄露对企业产生深远影响，包括声誉风险、数据竞拍、合规压力和业务中断等。
• 勒索软件家族更替
  • 每月新增传统勒索情况：每月都不断有新的勒索软件出现，2025年新增46款传统勒索软件。部分典型家族包括Wmansvcs、Bert、Monkey、Kalxat和SnowSoul。
  • 每月新增双重、多重勒索情况：2025年各月也时常出现新的勒索软件加入双重/多重勒索模式的行列中，仅360安全智能体监控到的此类双重/多重勒索软件家族，在本年度就共计新增40个。部分典型家族包括KawaLocker、DireWolf、WarLock、Nightspire、BaqiyatLock和VanHelsing。
  • 家族衍生关系：勒索软件生态呈现出高度“模块化、品牌化、联盟化、去中心化”的特征。核心加密代码的衍生关系包括Ryuk/Conti系列、Babuk系列和RansomHub家族。AI自动化驱动的家族包括FunkSec家族。无加密或轻加密纯勒索路线的代表家族包括ShinyHunters、ScatteredSpider和Lapsus$联盟。

第二章 勒索软件受害者分析

• 受害者所在地域分布：数字经济发达地区以及人口密集地区依然是受攻击的主要区域，以北上广、江浙沪为代表。
• 受攻击系统分布：Windows10系统正逐步被Windows11替代，桌面操作系统仍然位居首位。
• 受害者所属行业：制造业、互联网及软件、服务业是2025年国内勒索软件攻击的主要目标，教育、医疗行业也受到了较多的攻击。
• 受害者支付赎金情况：大多数受害者并不会支付勒索赎金，不支付的理由则依然是不信任或不纵容的态度。部分受害者望而却步是因为勒索赎金金额较高。
• 对受害者影响最大的文件类型：数据库和办公文档两类依然分列受害者最重要的被加密数据类型。
• 受害者遭受攻击后的应对方式：利用安全软件查杀、断开网络、求助于技术人员以及重装系统都是被官方采用的主流应对手段。断开网络的操作占比有着显著提升。
• 受害者提交反勒索服务申请诉求：主要诉求是为了能够恢复被加密的数据，寻求防护建议、排查中毒原因的占比分列其后。

第三章 勒索软件攻击者分析

• 黑客使用IP：美国成为勒索攻击IP的第一大来源地，其后则多为欧洲国家，而新加坡和我国香港地区因为存在大量被黑客租用的服务器机房，也榜上有名。
• 勒索联系邮箱的供应商分布：匿名邮箱占到了近七成。Tutanota跃升至最受勒索软件作者欢迎的邮箱运营商。
• 攻击手段：常见的攻击手段包括口令破解攻击、漏洞利用攻击、横向渗透攻击、共享文件、僵尸网络投毒、社会工程学、“自带易受攻击的驱动程序”（BYOVD）等。

第四章 勒索软件发展与趋势分析

• AI加速勒索攻击能力进化，攻防两端全面拥抱智能化
  • AI 让勒索攻击智慧化、定制化、隐蔽化：AI正使勒索软件具备自动识别目标资产与拓扑结构、按受害者环境动态定制攻击流程、更强规避检测与溯源能力等能力。
  • AI 驱动的全链路自动化勒索攻击体系形成：勒索组织正逐步具备“从入侵到加密的全链路无人化攻击”能力。
  • AI 成为新一代安全产品核心能力：AI技术被广泛应用于安全产品和服务中，在威胁发现、异常行为识别和自动化处置等方面显著提升了防御能力。
  • 安全产品门槛持续降低，AI成为普惠安全的核心：AI技术的成熟和集成，进一步将复杂专业的安全能力转化为易用、高效的“一键式”服务。
• 攻击团伙更加专业化、系统化，中小企业成为高频目标：攻击组织更具“准红队化”特征，结构化的入侵战术、套件化的横向移动工具、工具链之间高度兼容、专人负责扫描、窃取、部署、加密等流程、RaaS模式进一步成熟、n-day漏洞利用规模化加剧、安全托管与SaaS防护将成为中小企业的主要选择。
• 创新驱动反勒索技术发展——安全技术新突破：安全厂商持续在技术创新上投入巨大努力，旨在构建更具韧性和前瞻性的反勒索体系，包括勒索攻击行为的纵深识别与阻断、信创与多平台环境的防护深化、勒索溯源增强、Java/Net/Web应用的深度防御等。

第五章 安全建议

• 针对企业用户的安全建议
  • 发现遭受勒索软件攻击后的处理流程：及时隔离被攻击设备、切断其与整个内部系统和其他设备的连接、联系安全厂商或专业安全团队进行全面的排查处理、对风险点位做对应的加固修复、对公司内部在攻击中涉及的所有设备中的各类口令及凭据，全部进行统一更新。
  • 企业安全规划建议：从网络建设、资产管理、人员管理等方面进行安全规划。
  • 遭受勒索软件攻击后的防护措施：比照企业安全规划建议中的事项，对未尽事项进行及时更正或加强、检测系统和软件中的安全漏洞，及时进行修补、检查口令及凭据是否具有足够的长度和复杂性，并更新安全度不足或疑似已遭泄露的口令及凭据、对于在勒索攻击中尚未遭到加密的重要文件进行及时备份、加强对敏感数据的隔离。
• 针对个人用户的安全建议
  • 养成良好的安全习惯：安装具有高级威胁防护能力和主动防御功能的安全软件、使用安全软件的漏洞修复功能、尽量使用安全浏览器、重要文档、数据应经常做备份、电脑设置的口令要足够复杂。
  • 减少危险的上网操作：不要浏览来路不明的色情、赌博等不良信息网站、不要轻易打开陌生人发来的邮件附件或邮件正文中的网址链接、电脑连接移动存储设备（如U盘、移动硬盘等），应首先使用安全软件检测其安全性、对于安全性不确定的文件，可以选择在安全软件的沙箱功能中打开运行。
  • 采取及时的补救措施：安装360安全卫士并开启反勒索服务。
• 不建议支付赎金：支付赎金不仅变相鼓励了勒索攻击行为，而且解密的过程还可能会带来新的安全风险。
• 勒索事件应急处置清单：包括检查中招情况、控制勒索蔓延、排查关键节点等。

附录

• 附录1. 2025年勒索软件大事件：介绍了Qilin勒索软件在2025年度全球扩张、马来西亚机场遭勒索攻击致运营中断、RansomHouse勒索攻击全球发力、四川德阳连锁超市遭LOCKBIT4.0勒索攻击、美国环球健康服务公司医疗网络瘫痪、BlackSuit勒索攻击席卷450余家美国机构、国内某能源企业受DARKNESS勒索家族变种攻击、LOCKBIT5.0卷土重来并与多个勒索家族结盟、国内医疗行业面对SPMODVF勒索攻击、FIT遭INCRansom攻击等事件。
• 附录2. 360终端安全产品反勒索防护能力介绍：介绍了360攻击痕迹检测功能、远控与勒索急救功能、勒索预警服务、弱口令防护能力、数据库保护能力、Web服务漏洞攻击防护、横向渗透防护能力、提权攻击防护、挂马网站防护能力、钓鱼邮件附件防护等功能。
• 附录3. 360解密大师：介绍了360解密大师的功能和特点。
• 附录4. 360勒索软件搜索引擎：介绍了360勒索软件搜索引擎的使用情况和热词分析。