95015网络安全应急响应分析报告

主要观点 2025年，奇安信集团安服团队共接到应急服务需求575起。政府部门、制造业、金融机构的业务专网是2025年攻击者攻击的主要目标。 网络安全基础设施建设的不完善，网络安全运营能力的缺失，是当前国内绝大多数政企机构的通病。一方面，永恒之蓝、弱口令等基础漏洞仍然普遍存在，高危端口大量暴露；另一方面，仅有14.2%的政企机构能够通过安全巡检提前发现问题，避免损失，而绝大多数政企机构只能在重大损失发生之后，或被第三方机构通报之后才能发现安全问题。 安全意识问题依旧是制约政企机构安全生产的根本性问题。近三成左右的应急事件与弱口令有关；内部人员违规操作引发的应急响应事件占2025年95015服务平台接报事件总量的五分之一；而因员工安全意识不足导致的各类风险更是层出不穷，包括遭受黑客钓鱼攻击、私自下载携带恶意软件的应用程序、滥用U盘引发系统瘫痪，以及随意开放端口感染勒索病毒等。值得注意的是，钓鱼邮件的利用占比呈现显著增长态势，从2024年的4.7%快速攀升至2025年的13.6%，增幅接近两倍。这一趋势进一步凸显了大中型政企机构亟需加强内部员工网络安全防范意识培训的紧迫性。 2025年接收的安全事件中有小部分来自政企机构内部实战攻防演习活动，通过实际的攻击模拟和防御演练，企业可以更好地发现和识别可能存在的安全漏洞，能够尽早发现并修复潜在的威胁，防止实际攻击的发生，减少潜在的损失。 摘要 2025年，95015服务平台共接到全国政企机构网络安全应急事件报告575起。奇安信安服团队累计投入工时4170.5小时处置相关事件，折合521.3人天，处置一起应急事件平均用时7.3小时。从行业分布来看，2025年95015服务平台接报的网络安全应急响应事件中，政府部门报告的事件最多，为76起，占比13.2%；其次是制造业、金融机构，均占比12.5%。此外，事业单位、IT信息技术等行业也是网络安全应急响应事件高发行业。59.5%的政企机构，是在系统已经出现了非常明显的入侵迹象后，拨打的95015网络安全服务热线；21.0%的政企机构，是在被攻击者勒索之后进行的报案求助。而真正能够通过安全运营巡检，提前发现问题的政企机构仅占比14.2%。从网络安全事件的影响范围来看，50.6%的事件主要影响业务专网，而主要影响办公网的事件占比49.4%。从受影响的设备数量来看，失陷服务器为10349台，失陷办公终端为1498台。业务专网、服务器是网络攻击者攻击的主要目标。从网络安全事件造成的损失来看，造成生产效率低下的事件157起，占比27.3%；造成数据泄露的事件92起，占比16.0%；造成数据丢失的事件77起，占比13.4%；此外，造成政企机构声誉影响的事件56起，造成数据被篡改的事件18起。内部人员为了方便工作等原因进行违规操作，进而导致系统出现故障或被入侵，触发应急响应的网络安全事件多达115起。这一数量仅次于黑产活动（201起）、超过了窃取重要数据（99起）和敲诈勒索（65起）等为目的的外部网络攻击事件。以恶意程序为主要手段的网络攻击最为常见，占比35.5%；其次是漏洞利用，占比25.1%；钓鱼邮件排第三，占比13.4%。Web应用CC攻击、网页篡改、网络监听攻击、拒绝服务攻击等也比较常见。还有约18.7%的安全事件，并非网络攻击事件。应急事件分析显示，勒索病毒、银狐木马、挖矿木马是攻击者使用最多的恶意程序类型，分别占到恶意程序攻击事件的11.3%、11.3%和8.2%。此外，APT专用木马、蠕虫病毒、DDOS木马、网站木马等也都是经常出现的恶意程序类型。在应急响应事件处置的勒索软件中，排名第一的是Weaxor勒索软件，全年触发大中型政企机构网络安全应急响应事件9次；其次是Makop勒索软件5次，RNTC勒索软件和Wannacry勒索软件均为3次。这些流行的勒索病毒，十分值得警惕。永恒之蓝漏洞是攻击者在2025年利用最多的网络安全漏洞，相关应急事件多达145起，占比25.2%。其次是弱口令，相关利用事件为140起，占比24.3%。 关键词：95015、应急响应、安全服务、永恒之蓝、内部违规、敲诈勒索、漏洞利用 目录 第一章网络安全应急响应形势综述..............................................................1第二章应急响应事件受害者分析..................................................................2一、行业分布...........................................................................................2二、事件发现...........................................................................................2三、影响范围...........................................................................................3四、事件损失...........................................................................................4第三章应急响应事件攻击者分析..................................................................5一、攻击意图...........................................................................................5二、攻击手段...........................................................................................6三、恶意程序...........................................................................................6四、漏洞利用...........................................................................................7第四章应急响应典型案例分析.....................................................................9一、某学院信息遭泄露应急事件..............................................................9二、某企业中Beast勒索应急事件.........................................................10三、某企业感染kswapd0挖矿病毒应急事件..........................................11四、某企业员工遇钓鱼感染银狐木马应急事件.......................................12五、某机构被植入SEO黑链应急事件.....................................................13六、某企业OldFox APT应急事件..........................................................15附录1 95015网络安全服务热线....................................................................17附录2奇安信集团安服团队...........................................................................18 第一章网络安全应急响应形势综述 2025年1~12月，95015服务平台共接到全国范围内网络安全应急响应事件报告575起，奇安信安服团队第一时间协助政企机构处置安全事故，确保了政企机构门户网站、数据库和重要业务系统等的持续安全稳定运行。 综合统计数据显示，在全年575起网络安全应急响应事件的处置中，奇安信安服团队累计投入工时为4170.5小时，折合521.3人天，处置一起应急事件平均用时7.3小时。 第二章应急响应事件受害者分析 本章将从网络安全应急响应事件受害者的视角出发，从行业分布、事件发现方式、影响范围、以及攻击行为造成的影响等几个方面，对95015服务平台全年接报的575起网络安全应急响应事件展开分析。 一、行业分布 从行业分布来看，2025年95015服务平台接报的网络安全应急响应事件中，政府部门报告的事件最多，为76起，占比13.2%；其次是制造业、金融机构，均占比12.5%。此外，事业单位、IT信息技术等行业也是网络安全应急响应事件高发行业。 下图给出了不同行业网络安全应急响应事件报案数量的TOP10排行。 二、事件发现 从安全事件的发现方式来看，59.5%的政企机构，是在系统已经出现了非常明显的入侵迹象后，拨打的95015网络安全服务热线；21.0%的政企机构，是在被攻击者勒索之后进行的报案求助。这二者之和为80.5%。 也就是说，超过八成的大中型政企机构是在系统已经遭到了巨大损失，甚至是不可逆的破坏后，才向专业机构进行求助。而真正能够通过安全运营巡检，在损失发生之前及时发现问题并呼救，避免损失发生的政企机构，占比为14.2%。 此外，还有约5.3%的政企机构是在得到了主管单位、监管机构及第三方平台的通报后启动的应急响应。这些机构不仅严重缺乏有效的网络安全运营，也严重缺乏必要的威胁情报能力支撑，致使自己的主管单位或监管机构总是先于自己，发现自身的安全问题 或被攻击的现象。其中，某些通报可能还会使相关单位面临法律责任及行政处罚。这些被通报的政企机构都是潜在的定时炸弹，随时都有可能爆发。 三、影响范围 网络安全事件往往会对IT及业务系统产生重大的影响。在2025年95015服务平台接报处置的网络安全应急响应事件中，50.6%的事件主要影响的是业务专网，而主要影响办公网的事件占比49.4%。从受网络安全事件影响的设备数量来看，失陷服务器为10349台，失陷办公终端为1498台。 2025年大中型政企机构遭受网络攻击事件的影响范围如下图所示。 在本报告中，办公网是指企业员工使用的台式机、笔记本电脑、打印机等设备组成 的基本办公网络，而业务专网泛指机构整体运行与对外支撑所需要的各种网络系统。 从影响范围和受影响设备数量可以看出，大中型政企机构的业务专网、服务器是网络攻击者攻击的主要目标。 大中型政企机构在对业务专网进行安全防护建设的同时，还应提高内部人员安全防范意识，加强对内网中办公终端、重要服务器的安全防护保障和数据安全管理。 四、事件损失 网络安全事件通常都会引起政企机构不同程度、不同类型的损失。应急处置现场情况分析显示，在95015服务平台全年接报的575起报案中，有157起事件，造成了相关机构的生产效率低下，占比27.3%，是排名第一的损失类型；其次是造成数据泄露的事件有92起，占比16.0%，排名第二；造成数据丢失的事件77起，占比13.4%，排名第三；此外，造成政企机构声誉影响的事件56起，造成数据被篡改的事件18起，造成其他损失的事件175起。 特别说明，在上述统计中，同一事件只计算一次，我们只统计每起事件造成的最主要的损失类型。 造成生产效率低下的主