核心观点与关键数据
方法论
Kroll网络威胁情报团队通过月度焦点报告和季度/季度数据报告发布威胁情报，情报来源基于Kroll网络事件响应工作中的实际案例，涵盖数千个网络安全事件。
威胁类型与行业影响
- 主要威胁事件类型：邮件妥协（40%）、勒索软件（17%）、未授权访问（15%）、内部威胁（13%）、网络入侵（10%）
- 最受影响的行业：专业、科学和技术服务（23%），其次是金融与保险（11%）、教育服务（9%）、医疗卫生和社会救济（9%）、制造（9%）
- 初始访问方法：利用面向公众的应用程序（20%）、有效账户（20%）、外部远程服务（17%）、网络钓鱼（17%）、麒麟（40%）、AKIRA（20%）、达摩（20%）、NOVA（20%）
行业分析
- 专业、科学和技术服务：邮件妥协为主要威胁事件类型，有效账户是最常见的初始访问方法
- 金融与保险：有效账户是最常见的初始访问方法，邮件妥协为主要威胁事件类型
威胁影响分析
- 数据加密：用于影响数据窃取，造成金融诈骗
- 专业、科学和技术服务：报告了所有威胁类型中最确认的影响，包括数据加密
- 勒索软件：主要影响是金融诈骗，内部威胁参与最观察到的影响是知识产权盗窃
勒索软件分析
- 重点瞄准行业：房地产、租赁和租赁
- 顶级行动者控制的羞辱网站和博客受害者：麒麟（40%）、AKIRA（20%）、达摩（20%）、NOVA（20%）
- 主要受影响地区：北美洲
- 常用初始访问方法：外部远程服务（如VPN，SonicWall和Fortigate）
威胁类型趋势（上六个月）
- 主要威胁类型：勒索软件、邮件欺骗、内部威胁
- 初始访问方法：有效账户、外部远程服务、网络钓鱼
热门漏洞
- CVE-2025-5377（sharepoint）、CVE-2025-33053（Adobe）、CVE-2025-2776（SysAid）、CVE-2025-54309（NetScaler）、CVE-2025-5777（在Kroll业务中观察到）
事件影响详细分类
- 数据操作：数据加密、金融盗窃、数据操作
- 网站/应用程序/数字内容篡改：涂改、篡改、磁盘擦除
- 终端操作：终端拒绝服务、账户访问移除
- 数据加密：用于影响、数据销毁、数据窃取
- 网络操作：网络拒绝服务、阻止系统恢复、系统关机/重启
- 知识产权盗窃：窃取专有或敏感知识产权
- 硬件操作：固件损坏、资源劫持
行业分类代码
其他安全事件
- GONEPOSTAL恶意软件：被用于KTA007（Fancy Bear、APT28）的间谍活动，为Microsoft Outlook提供后门访问
交通灯协议（TLP）使用规则
- TLP:red：不对外公开，仅限参与者内部使用
- TLP:amber+strict：仅限组织内部成员分享，需遵守严格限制
- TLP:amber：仅限组织内部和客户分享，需遵守限制
- TLP:green：在行业或社区内部有限披露，不得公开传播
- TLP:clear：无限制分发，符合公开披露规则
