2025年3月威胁情报（TI）Spotlight Trends Report 总结
方法论
Kroll网络安全事件响应工作中的情报为本报告提供数据支持，这些情报来源于Kroll Cyber Data & Resilience团队每年处理的事务。Kroll通过月度焦点报道和季度威胁态势报告按月度和季度提供数据。数据由Kroll网络威胁情报团队在初始范围界定阶段以及合作项目的整个生命周期中收集和处理。
主要威胁事件类型
- 勒索软件：AKIRA（25%）、PLAY（13%）、QILIN（13%）、LOCKBIT（13%）、KILLSEC（13%）、0XXX（13%）、RALORD（13%）
- 电子邮件妥协：43%
- 网络钓鱼：链接（43%）、有效账户（14%）、利用面向公众的应用程序（14%）、附件（14%）
- 其他：内部威胁（13%）、未授权访问（10%）、网络泄露（6%）
受影响最严重的行业
- 专业、科学和技术服务：29%
- 金融与保险：14%
- 制造业：10%
- 批发贸易：8%
行业分析
- 专业、科学和技术服务业：主要威胁事件类型为电子邮件妥协。
- 金融与保险业：主要威胁事件类型为电子邮件妥协和网络钓鱼：链接、有效账户。
影响分析
- 内部威胁：数据泄露是最常见的造成影响的方式。
- 勒索软件：数据加密和数据窃取（数据加密以产生影响和数据被盗以造成影响）是最主要的影响。
勒索软件分析
- AKIRA是最常见的勒索软件变种。
- 制造业是受害者在勒索软件行为者控制的羞辱网站和博客上被报道的首要行业。
- 北美洲是遭受勒索软件行为者控制受害者的首要地区。
威胁事件类型趋势
- 勒索软件：13%
- 电子邮件欺诈：9%
- 内部威胁：14%
- 未授权访问：25%
- 网络入侵：21%
- 恶意软件：21%
初始访问方法
- 网络钓鱼：链接：43%
- 有效账户：13%
- 利用面向公众的应用程序：14%
- 钓鱼攻击：附件：14%
- 外部远程服务：13%
趋势性漏洞
- CVE-2024-24919：Microsoft
- CVE-2025-24985：Microsoft
- CVE-2025-22224：VMware
- CVE-2025-25181：Advantive
- CVE-2025-24472：Fortinet
事件影响
- 金融盗窃：对手可能通过勒索、欺诈或直接盗窃来窃取金融资产。
- 数据操作：攻击者可能篡改数据以影响业务流程、决策或隐藏恶意活动。
- 篡改：修改网站、应用程序或数字内容以传播错误信息、恐吓或宣传。
- 磁盘擦除：破坏或损坏磁盘数据以使系统无法使用。
- 终端拒绝服务：利用或压倒端点设备以阻止正常用户访问或操作。
- 账户访问移除：敌对势力可能通过删除、锁定或更改的方式，剥夺合法用户访问账户的权利。
- 数据被窃以造成影响：对手可能窃取和传输敏感数据以造成伤害、扰乱运营、损害声誉或为金融或战略利益获取优势。
- 数据加密以产生影响：对手可能会加密数据以拒绝访问，要求赎金或使数据永久无法访问。
- 数据销毁：对手可能销毁系统或网络上的数据以破坏可用性。
- 拒绝服务攻击：通过洪泛或利用网络资源来降低或完全停止在线服务。
- 阻止系统恢复：对手可能会删除备份并禁用恢复选项，以防止系统恢复。
- 固件损坏：篡改或损坏固件以禁用硬件、破坏功能或持续植入恶意软件。
- 知识产权盗窃：对手可能通过谍报活动、内部威胁或网络入侵窃取专有或敏感的知识产权。
- 系统关机/重启：强行重启或关闭系统以破坏运营、抹除证据或协助进一步攻击。
- 资源劫持：窃取计算资源（例如CPU、GPU、带宽）用于未经授权的任务。
NAICS行业代码
- 115321542255235631-3361426244-457148-497251815292 NAICS行业代码（2位）
- 来源：Census.gov
附加资源
- 每周网络威胁情报简报
- 实现与微软(XDR)成熟度的关键步骤 (+免费自我评估工具)
- 扩展检测与响应（XDR）
- 网络安全与物理安全融合：地理位置数据
- 黑客攻击及高管保护
TLP定义
- TLP:RED：不予披露，受限仅供参与者。
- TLP:AMBER：有限披露，受限给参与者的组织和客户。
- TLP:GREEN：有限披露，受限向社区。
- TLP:CLEAR：信息披露不受限制。
