行业研究公司研究宏观策略财报招股书会议纪要 Token 低空经济十五五 AIGC 大模型

2025年全球威胁态势研究报告

信息技术 2025-04-24 FortiGuard Labs 杨静🍦

攻击方优势加速扩大，攻击者以空前未有的速度、精准度和影响发起攻击。组织亟需从传统被动防御模式转变为以威胁暴露管理为支撑、以威胁情报为主导的主动防御模式。
漏洞侦查空前激增：2024 年全球网络空间主动扫描量达历史峰值，同比激增 16.7%。攻击者日益关注暴露面测绘服务，如 SIP、RDP 以及 Modbus TCP 等 OT/IoT 协议。
AI 技术深度赋能网络犯罪供应链：FraudGPT、Blackmail-erV3 和 ElevenLabs 等恶意工具，可自动生成恶意软件、深度伪造视频、网络钓鱼网站和合成语音，催生更可扩展、可信度更高的攻击活动。
网络犯罪即服务（CaaS）模式正规模化助推初始访问攻击：待售窃取凭据数量激增 42%，暴力访问 VPN、桌面远程协议（RDP）和管理面板的初始访问代理（IAB）活动显著增加。
攻击者形态碎片化，功能统一化：13 个勒索软件团伙初次涌入勒索软件即服务（RaaS）市场，排名前四的团伙依然占据攻击观测总量的 37%。
漏洞利用数量持续飙升，增速不减：2024 年新披露漏洞利用平均时间相对稳定，但漏洞利用尝试规模呈激增趋势。FortiGuard Labs 监测到超 970 亿次漏洞利用尝试。
后渗透战术隐蔽性日益提升：离地攻击（Living-off-the-land）战术成为网络犯罪分子的惯用手段，并基于受信任工具和协议隐蔽地进行权限提升。
云攻击战术和技术不断演进，配置错误攻击依然盛行：云环境仍是攻击者的首要攻击目标，通常利用存储桶公开访问、身份权限过度分配及服务配置错误等长期存在的漏洞实施入侵。
攻击者最青睐的切入点：Windows SMB 信息披露漏洞（CVE-2017-0147）、Apache Log4j 远程代码执行漏洞（CVE- 2021-44228）、Netcore Netis 设备硬编码密码漏洞（CVE-2019-18935）。
攻击者如何实现跨网络横向隐匿移动：通过 SMB 流量中的恶意可执行文件下载、SMB 协议执行中的异常行为、WMI ExecMethod 横向移动检测等技术。
攻击者如何利用 Windows 系统入侵组织：通过跨网络下载的恶意可移植可执行文件（PE）、APT 组织使用的木马下载程序、基于 Windows ManagementInstrumentation（WMI）执行经编码的PowerShell 命令等技术。
攻击者如何测绘和操纵活动目录（Active Directory）：通过 DCShadow 攻击、DCSync 攻击、活动目录（Active Directory）枚举、网络扫描技术等技术。
攻击者如何保持对受感染系统的持续控制：通过 SSL C2 信标、Cobalt Strike DNS 请求、DNS 隧道和长 DNS 查询等技术。
勒索软件现状：RaaS 生态系统不断扩大，新团体不断涌现，形成双重和三重勒索模式。2024 年最活跃的勒索软件组织包括：RansomHub、LockBit 3.0、Play、Medusa。
2024 年威胁态势呈现多样化趋势：网络犯罪集团迅速蜕变、新兴勒索软件攻击者不断涌现、黑客行动主义攻击日趋复杂化，以及政治性间谍组织持续活跃。
行动呼吁：防御“左移”，快速行动，减少暴露威胁形势扭转在即：组织亟需从传统被动威胁检测模式转向主动持续威胁暴露管理（CTEM）模式。