行业研究公司研究宏观策略财报招股书会议纪要 Token 低空经济十五五 AIGC 大模型

2025年全球威胁报告

信息技术 2025-10-07 Elastic M.凯

引言

弹性安全实验室的研究团队坚信，通过开放、基于社区的策略分享所学，能够共同提升防御能力。本报告揭示了敌方攻击模式的转变，从缓慢隐蔽的入侵转向高速攻击，利用云账户、开发者平台和浏览器等可信工具，使攻击行为更难区分。报告强调，要发现现代快速攻击，需要对环境有深入了解，利用AI驱动分析将实时事件与历史模式结合，才能做出快速、自信的决策。

执行摘要

攻击速度加快：对手专注于一进入就立即运行恶意代码，运行时内存保护和初始访问预防变得至关重要。攻击生命周期从月为单位缩短到分钟，实时和历史数据的快速、情境丰富的决策成为有效防御的关键。
云攻击面集中：超过60%的云安全事件涉及初步访问、持续存在和凭证访问，表明强化身份验证流程和对异常权限访问进行监控是保护云工作负载的有效方法。
Windows优先级反转：执行策略占比从去年的约1%激增至32.05%，超过防御规避，表明战略转向立即部署有效载荷而非初始隐蔽。
AI生成威胁激增：利用大型语言模型（LLMs）快速生成恶意加载器和工具，大幅增加了恶意软件的体积和种类，需要依赖静态特征和行为分析及AI驱动检测。
源代码泄露风险：意外提交到GitHub的代码，如API密钥或护照照片，成为永久性风险，难以完全补救。
浏览器凭证盗窃产业化：超过8%的恶意软件设计用于窃取浏览器数据，这些凭证被用于危害企业云账户，形成现代攻击链。

全球威胁报告关键数据和研究结论

恶意软件分布：Windows占89.97%，Linux占9.00%，macOS占1.03%。Rootkit数量显著增加，尤其在Linux系统上。
通用类别：特洛伊木马占64.49%，通用威胁占23.53%，加密矿工占2.77%。
基于Windows的恶意软件家族：信息窃取者、远程监控与管理（RMM）工具和开源现成框架是主要威胁。
基于Linux的恶意软件家族：现成的恶意软件、加密货币挖掘机和轻量级命令和控制（C2）框架主导，主要使用Sliver、Mythic和Metasploit等知名代码家族。
基于macOS的恶意软件家族：信息窃取程序和加密货币挖矿是主要威胁，Metasploit占25.66%。
MITRE ATT&CK策略：Windows和Linux系统上，执行、防御规避和初始访问是最常见的策略，分别占32.05%、23.08%和19.23%。
MITRE ATT&CK技术：Windows系统上，命令与脚本解释器、用户执行和钓鱼是顶级技术；Linux系统上，命令与脚本解释器、系统二进制代理执行和进程注入是顶级技术。
云安全：Azure是最常见的异常信号环境，占比54.06%，主要涉及凭证访问和持久性。AWS和GCP的信号分布相对平均。
Azure和Microsoft 365：初始访问和持久性是主要策略，分别占41%和46%。Entra ID异常主要指向账户接管和持久访问，Exchange Online是关键领域。
机器学习模型洞察：Elastic Endpoint的机器学习模型在恶意软件检测中表现优异，特权访问检测集成包覆盖Windows、Linux和Okta环境。
内部弹性故事：GitHub数据泄露风险突出，即使是私有存储库也可能成为安全隐患，需要加强控制和监控。
威胁概要：BANSHEE、PUMAKIT和FINALDRAFT是主要威胁，反映了利用合法SaaS基础设施进行命令与控制的趋势。