2025年APT趋势洞察报告

2025年APT趋势洞察报告总结

核心观点：

• 攻防全域升级： 攻击涵盖身份窃取、0day漏洞与AI加速三大核心维度，从传统终端延伸至云端与移动领域。
• 社会工程转型： 攻击模式从邮件钓鱼转向操控人类工作流与身份验证体系，例如ClickFix和SEO水坑攻击。
• AI赋能攻击： AI技术加速漏洞挖掘与利用，并赋能钓鱼攻击，同时自身也面临安全问题。
• APT攻击与地缘政治相互影响： 地缘政治紧张局势催生情报型网络攻击，经济衰退加剧加密货币窃取和定向勒索攻击。

关键数据：

• 在野0day漏洞利用数量激增： 2025年监测到43个在野0day漏洞，较2024年增长32%。
• 攻击面持续扩大： 攻击从操作系统、浏览器延伸至供应链底层组件、移动芯片与核心通讯应用。
• AI加速漏洞挖掘与利用： AI技术大幅缩短漏洞从发现到武器化的周期，推动攻击效率提升。
• 社会工程攻击模式转型： 攻击者降低对复杂恶意代码投递的依赖，转而聚焦人类工作流与身份验证体系的操控。

研究结论：

• 攻击者利用操作系统和浏览器类0day漏洞最为频繁： 攻击面不断扩大，从底层芯片到上层通讯应用，都出现了在野0day漏洞利用。
• APT组织与网络犯罪团伙敏锐捕捉社区前沿攻击技术变化： 生成式AI极大地加速了新攻击技术与工具的应用。
• 社会工程学回归其原始含义： APT组织降低对邮件投递恶意代码的依赖，转而聚焦对人类工作流的直接操控。
• 勒索与破坏性攻击的边界加速消融： 攻击者核心诉求从单一赎金勒索转向系统性业务中断。

地缘与组织画像：

• 南亚： BITTER组织攻击活动武器化加速，CNC组织目标专一与手法持续演进，Confucius组织引入新型C#后门，Patchwork组织摆脱早期低技术水平标签，Sidewinder组织全面拥抱合法云服务平台，SideCopy组织大规模利用开源远控工具，Transparent Tribe组织全面拥抱Go语言与跨平台架构。
• 东亚： Lazarus组织攻击活动向高工程化与供应链深度渗透演进，Kimsuky组织继续深耕其擅长的地缘政治间谍活动，伪猎者组织具有东北亚背景，ScarCruft组织展现了规避检测方面的卓越能力。
• 欧洲： Gamaredon组织依旧是俄乌冲突背景下最具攻击频次的APT组织，Sandworm组织针对关键基础设施（尤其是电力系统）的攻击中不再单纯追求开发高度定制化的二进制文件，而是更多地利用“就地取材”技术，Turla组织不再仅仅依靠自身的初始入侵，而是通过劫持其他活跃APT组织的C2节点，以“黄雀在后”的姿态分发其核心载荷Kazuar。
• 中东： Charming Kitten组织对后门隐蔽性与稳定性的极致追求，MuddyWater组织转向高度精密的自研工具开发，OilRig组织通过子团伙化运作与跨组织协作实现情报收益的最大化，Ashen Lepus组织在2025年的活跃度与其所在地区的地缘冲突局势高度正相关。
• 北美： 源自北美的攻击者表现出明显的“能力升维”特征，已全面转向利用量子系统实施链路劫持，以及利用iMessage、FaceTime等移动端应用实施“零点击”攻击。

防御体系演进与建议：

• 攻击面管理（ASM）： 构建持续、动态、智能的ASM能力，实现攻击面的动态管理。
• 身份安全与反社工： 构建涵盖“防护-监测-管控”的多层次身份安全体系，强化反社工机制。
• 云与SaaS防御： 建立全面防御体系，包括控制平面审计与日志基线、配置与权限治理、第三方集成与数据治理。
• 人员安全意识培训： 定期进行定向钓鱼模拟，持续提升人员安全意识。
• 资产管理和保护： 对资产、人员、业务、脆弱性的持续管理，基于零信任理念设定资产安全隔离和准入策略。
• 网域管理与安全设施部署： 建立深度防御和有效隔离的机制，为安全事件溯源提供原始日志数据支撑。
• 建立研发供应链安全机制： 推动产品线安全架构体系化设计及软件供应链安全管理流程落地。
• 建立安全运营中心： 推动组织逐步构建APT猎捕能力，实现针对所在组织IT基础设施及人员的定向攻击事件的持续挖掘及快速响应机制。
• 用好AI技术： 制定AI安全防御战略，部署AI安全运营平台，建立涵盖模型管理、数据管理、权限管理、审计管理的治理框架。