网络安全威胁2024年中报告

主要观点

• 国内高级持续性威胁：2024年上半年，我国高级持续性威胁（APT）主要涉及信息技术、政府、科研教育领域，受害目标集中在广东等地区。报告提及多个持续针对国内重点目标的未知威胁组织（UTG），其攻击活动涉及新能源、低轨卫星、人工智能、航天航空等多个领域，甚至通过入侵跨国公司的境外基础设施向中国境内办公点进行横向移动。
• 勒索软件：2024年上半年全球活跃的勒索软件家族数量众多，新型勒索软件和变种不断出现，稍具规模的勒索团伙大多采用“双重勒索”的攻击模式。勒索软件的投递使用多种手段，包括漏洞利用、借助其他恶意软件和远程管理工具、软件伪装等。针对企事业单位的勒索攻击往往结合了精心的渗透过程，一些新兴勒索软件采用以往的恶意代码，攻击虚拟化环境的勒索软件逐渐增多。
• 互联网黑产：不法分子利用网络渠道和技术手段从事游走在法律监管之外的牟利活动，形成互联网黑色产业链，危害网络安全。这些黑产团伙的攻击手法工具、攻击目标各不相同，但最终目的都是为了获取经济利益。他们之中有的共用工具，关系错综复杂，会针对其他黑产从业人员展开黑吃黑行动；有的规模庞大，通过感染电视、机顶盒等设备提供不法服务；有的针对 IT 运维人员发起多次供应链投毒攻击；还有的新兴黑产瞄准线上考试，提供作弊服务。
• 在野 0day 漏洞：2024 年上半年的在野 0day 漏洞数量和去年基本一致，但是原本三足鼎立的格局已经渐渐被打破。Google 相关产品尤其 Chrome 浏览器仍然占据了在野漏洞的大部分份额，甚至出现一周内连续修复三个在野 0day 的盛况。部分攻击者将目标转向防火墙、VPN 等边界设备，以较小的攻击成本换来巨大的收益。同时攻击者也在尝试新的攻击角度，例如利用产品更新迭代过程中针对旧漏洞的补丁失效，又或者像 XZ Utils 事件中通过层层深入的社会工程学手段在开源项目里埋下后门。
• 网络威胁活动特点：攻击者积极挖掘新攻击面并更新技战术，恶意软件的快速迭代和跨平台攻击的增加对防御者提出了新的挑战；随着 AI 技术的发展，AI 不仅成为网络安全人员的重要工具，也带来了新的攻击手段和挑战，如用 AI 生成的误导信息内容和 AI 本身引入的软件漏洞。

关键数据

• 受境外 APT 团伙攻击情况：广东省受境外 APT 团伙攻击情况依旧最为突出，占比达 22.5%，其次是江苏、四川、浙江、上海、北京等地区。
• 受影响行业：信息技术 18.5%，政府部门 16.3%，科研教育 12.0%，建筑 7.6%，制造 7.1%。
• 提及率排名前五的 APT 组织（含并列）：Kimsuky 13.4%，Lazarus 8.9%，APT28 4.5%，Group123/Sandworm/MuddyWater/C-Major 3.6%，摩诃草 /Turla 2.7%。
• 全球 APT 活动的首要目标行业：政府部门 31.3%、科研教育 15.0%、国防军事 13.8%。
• 全球勒索软件攻击涉及国家：包括中国在内的多个国家。
• 受害者行业：政府、医疗、制造、能源等行业。
• 互联网黑产攻击涉及的团伙：银狐木马黑产团伙、Bigpanzi、暗蚊、金相狐。
• 披露的高危漏洞数量：25 个。
• 提及率排名前五的漏洞涉及厂商：Google 仍是相关漏洞最多的厂商，微软、苹果的相关漏洞数量有所回落，留下的份额被网络边界设备漏洞填补。

研究结论

• 2024 年上半年网络威胁活动呈现出攻击者积极挖掘新攻击面并更新技战术、恶意软件的快速迭代和跨平台攻击的增加、AI 技术的发展带来的新挑战等特点。
• 攻击者与安全人员的博弈依旧是一场不断升级的漫长拉锯战，新技术带来新时代的革新，AI 同样如此，从个人再到安全企业，最终遍及整个网络安全领域。