依托Solar安全应急响应团队、安天实验室、360反勒索服务平台、Ransomlive全球威胁情报等多源数据，围绕勒索家族追踪、加密机制分析、解密工具开发、赎金支付链追踪、防御策略与应急响应八大方向，构建覆盖"监测—分析—研判—处置—赋能"全链路的勒索软件研究体系。
基于Solar安全应急响应团队、安天实验室、360数字安全集团、新华三聆风实验室、Ransomlive等多源权威数据，全面研判全球及国内勒索软件攻击态势。
534起
Solar团队2025年全年应急响应数据，同比增长544.89%，第二季度达峰值，占全年35.20%。
122个家族
2025年参与双重/多重勒索的活跃家族达122个，较2024年增长近三成，全球Top10家族全部建立专属DLS。
79.58%
Solar团队处置案件中，攻击量Top10家族合计占总案发量79.58%（Solar处置样本口径；全球宣称口径下新华三统计为约57.5%），威胁生态呈高度集中化特征。
4700万元
360反勒索服务2025年协助2271位用户完成486万份文件解密，新增支持8款勒索病毒解密（7款全球独家）。
数据来源：新华三聆风实验室《2025勒索软件攻击态势报告》
数据来源：新华三聆风实验室《2025勒索软件攻击态势报告》
2025年全球勒索攻击呈"双峰一谷"特征：Q1（2,421起，占29.3%）与Q4（2,417起，环比增长47.29%）为两大爆发期；2月为全年最活跃月份，单月攻击声明达1,014起。Qilin、Akira、Cl0p三大家族合计占据28.4%市场份额，其中Qilin以12.4%占比位居榜首。
数据来源：SolarCERT《勒索软件威胁与防护年度报告（2026）》、Ransomlive / RansomLook
在Solar团队处置的534起案件中，涉及核心业务中断或敏感数据加密的高危级事件占比高达99.61%；双重勒索已成为主流模式；35.2%的企业因内网清理不彻底、后门未清除，在短期内遭遇重复攻击——彻底溯源与清除闭环是防止二次勒索的关键。
数据来源：Solar安全应急响应团队《勒索软件威胁态势与防护实践年度报告（2025）》
基于534起真实受害案例的统计分析：勒索攻击在省级层面呈现高度集中、明显分层的地理分布特征，广东、北京、上海、四川、山东构成受害主要集中区域，呈现"头部高度集中、尾部广泛分布"的典型特征。Solar团队应急响应支撑足迹已覆盖全国30+个省、自治区、直辖市。
数据来源：Solar安全应急响应团队《勒索软件威胁态势与防护实践年度报告（2025）》
基于安天实验室、新华三聆风实验室、360安全大脑等多源情报，对全球主要勒索攻击组织进行系统性追踪与画像分析。
Qilin（麒麟）最初以"Agenda"之名于2022年8月出现，同年12月将代码从Golang重构为Rust以提升加密速度与反检测能力。2025年因吸纳RansomHub瓦解后的大规模附属机构而爆发式增长，攻击量激增，超越RansomHub成为全球最活跃勒索组织。
技术特征：采用AES-256/ChaCha20与RSA-4096混合加密，创新利用Windows Subsystem for Linux（WSL）运行Linux加密器以绕过传统安全检测；支持Windows与VMware ESXi跨平台攻击；推出法律威胁功能和DDoS攻击能力，形成多维度施压策略。
入侵路径：钓鱼邮件、FortiGate/SAP NetWeaver等高危漏洞利用、RDP暴力破解与凭证窃取；并可利用BYOVD技术加载易受攻击驱动（如eskle.sys）在内核层终止EDR。重点瞄准北美、欧洲、澳洲的制造、医疗、政府、关键基础设施等高停机成本行业。
典型案例：英国Synnovis病理服务商、马来西亚机场控股（KLIA）、日本朝日集团、美国Lee Enterprises等。
Akira勒索攻击组织于2023年首次出现，迅速成长为全球最具破坏力的勒索团伙之一。2025年实现显著演进，攻击向量从传统的Cisco VPN漏洞扩展至大规模利用SonicWall防火墙漏洞，通过劫持VPN会话或窃取凭证绕过多因素认证获取初始访问权限。
技术特征：6月首次成功加密Nutanix AHV虚拟机磁盘文件，标志着从VMware ESXi向多元化虚拟化平台的扩展；早期版本基于C++（.akira后缀），2023年8月起新增Rust版（Megazord，.powerranges后缀），此后迭代出Akira_v2（Rust），多版本按目标环境选择；采用"间歇性加密"技术平衡加密速度与破坏效果，加密算法为ChaCha20与RSA混合。
攻击战术：利用SEO投毒策略分发Bumblebee恶意软件作为初始访问工具；通过"ClickFix"社会工程技术（伪装CAPTCHA验证）诱导用户下载远控木马；利用RDP、SSH和SMB协议横向移动。
金融行业攻击：2025年针对金融行业的攻击事件大幅增长，成为该组织的重要目标转向信号。
Cl0p（又名Clop/CL0P）是与TA505威胁组织关联的老牌勒索团伙，自2019年以来持续活跃。2025年该组织完成战略转型——彻底摒弃传统文件加密流程，全程聚焦敏感数据窃取与泄露施压，成为纯数据勒索模式的标杆。
攻击模式：专门利用企业级通用软件高危零日漏洞实施供应链打击。2025年Q1利用Cleo文件传输系统漏洞（CVE-2024-50623、CVE-2024-55956）公布115名受害者；Q3-Q4通过Oracle EBS ERP系统高危漏洞（CVE-2025-61882）突袭哈佛大学、Envoy航空、罗技等超100家知名机构；Q4借助Gladinet CentreStack文件服务器漏洞针对公网暴露存储设备发起攻击。
技术特点：自主掌控漏洞挖掘与利用能力，弱化对RaaS模式的依赖；针对Oracle EBS的CVE-2025-61882为并发处理/BI Publisher集成组件的未授权远程代码执行漏洞（CVSS 9.8，另有CVE-2025-61884被用于数据访问），攻击者滥用XSLT处理机制诱导应用加载远程XSL载荷执行代码，无需部署传统加密程序即可完成数据窃取。Oracle于2025年10月4日发布带外紧急补丁，该漏洞随后被列入CISA KEV目录。
LockBit最早于2019年9月以".abcd"后缀的勒索软件现身，确立了极其成熟的"勒索软件即服务"（RaaS）商业模式：核心管理层专注恶意软件代码迭代和洗钱通道维护，将具体入侵工作外包给"附属成员"，采用20/80的利润分成模式。
技术演进：采用分块部分加密（Intermittent Encryption）策略，根据文件大小选择加密数据块比例，在加密速度与破坏效果之间取得平衡。2025年发布5.0版本，采用ChaCha20系算法与X25519密钥交换，重点增强反取证能力，并改进跨平台 targeting 与面向云/混合基础设施的附属工具链。
执法打击与重组：2024年遭受国际执法打击后，其附属经RansomHub大规模流向Qilin与DragonForce，形成"LockBit→RansomHub→Qilin/DragonForce"的迁徙链。2025年与DragonForce、Qilin结盟，形成卡特尔联盟格局。
DragonForce（龙之力）于2023年8月首次出现，2025年3月在地下论坛自称为"卡特尔"，宣布转向分散式模式。推出新型白标联盟商业模式，允许其他团伙以自己的品牌进行攻击，同时利用龙之力的基础设施和恶意软件。
卡特尔模式：该集团负责恶意软件开发、数据泄露网站及其他相关服务，降低了合作伙伴的运营负担。白标联盟模式使得技术水平较低的攻击者也能够参与勒索软件攻击，进一步扩大了恶意软件的可及性。
结盟网络：与LockBit、Qilin等组织形成深度捆绑的垄断格局。Play勒索软件的代码与附属成员被DragonForce继承。Devman最初作为DragonForce附属使用其构建器后独立运营。
攻击目标：重点瞄准多个国家关键基础设施，攻击覆盖制造、能源、金融等高价值行业。
Lynx于2024年首次出现，是2025年新兴勒索组织中最活跃的代表。发布新版本优化攻击链，强化摧毁备份功能，融合AI钓鱼工具，受害者数量大幅增长。Sinobi被认为Lynx直接重命名，二者与INC构成紧密"三驾马车"。
技术特征：源自Conti代码库继承，与Akira、Play、SafePay、INC等均源自同一技术谱系。优化攻击链各环节效率，特别强化对备份系统的识别与摧毁能力，大幅降低受害者恢复可能性。
AI赋能：融合AI钓鱼工具生成高仿真社会工程内容，提升初始入侵成功率。这一趋势代表了勒索软件生态向AI化演进的重要方向。
从单一加密到多重勒索，从独立作案到卡特尔联盟，勒索软件攻击范式经历了深刻的技术与商业模式双重演进。
CryptoLocker、CryptoWall、Locky等早期勒索软件采用AES+RSA混合加密，仅对文件进行加密勒索。攻击者通过钓鱼邮件、漏洞利用工具包传播，赎金通常要求以比特币支付。此阶段以"加密即勒索"为核心逻辑。
WannaCry、NotPetya将勒索软件与蠕虫技术结合，利用永恒之蓝（EternalBlue）等NSA泄露漏洞实现内网自动传播。WannaCry波及全球150余个国家的20万台以上计算机（部分统计逾30万台）。此阶段标志着勒索软件从精准打击转向大规模无差别攻击。
LockBit、REvil、DarkSide等建立RaaS商业模式，核心团队开发勒索软件，附属成员实施攻击，利润分成。2020年起"双重勒索"（加密+数据窃取）成为主流，Maze家族首创DLS（数据泄露站点）模式。Conti家族达到顶峰后于2022年瓦解。
Clop利用MOVEit Transfer零日漏洞发动大规模供应链攻击，影响超2000家组织。BlackCat/ALPHV采用Rust编写，支持ChaCha20/AES双算法。RansomHub等新兴组织崛起。"多重勒索"（加密+窃取+曝光+DDoS+监管举报）成为标准操作。
Qilin利用WSL跨平台攻击绕过检测，DragonForce建立卡特尔联盟模式。AI被用于生成钓鱼内容、优化漏洞利用、自动化攻击链。凭证窃取首次超越漏洞利用成为首要入侵方式。纯数据勒索（不加密）模式由Clop验证可行。EaaS（勒索即服务）进一步降低攻击门槛。
基于公开报道与安全研究机构分析，对2025年具有代表性的勒索攻击事件进行深度复盘，提炼防御启示。
攻击链：黑客通过境外远程虚拟IP和未修复的高危漏洞入侵数据库系统，上传并运行勒索软件，加密管理系统、库存模块、供货数据及会员储值信息。
影响：超市旗下5家门店停业一周，直接经济损失超20万元。勒索要求72小时内支付15比特币（约825万元人民币）。
处置：警方随后立案侦查并抓获犯罪嫌疑人（案件详情以公安机关官方通报为准）。该案暴露出中小零售企业网络安全防护普遍薄弱的问题。
攻击链：黑客渗透合作方软件供应商，在工业控制软件更新包中植入恶意代码。企业常规更新时误安装，恶意代码潜伏3至7天后收集网络拓扑和核心账号。
影响：油气勘探基地生产中断12小时，经济损失超500万元。黑客窃取大量敏感信息并威胁公开数据。
处置：企业迅速隔离感染系统，利用异地备份逐步恢复生产。国家能源局发布通知强化应急响应能力。
注：本案例基于公开通报的典型攻击模式进行教学化复盘，细节为综合代表性特征呈现。
攻击特征：该勒索软件攻击频次高、隐蔽性强，专门针对医疗行业。中小型医疗机构因防护薄弱成为主要攻击目标。
典型事件：中部省份二甲医院CT影像系统瘫痪72小时，重症患者被迫转院；南方中型医疗机构因无有效备份支付赎金但仅恢复部分数据。
政策响应：2025年11月《国家网络安全事件报告管理办法》实施，医疗机构必须及时上报安全事件。
漏洞：CVE-2025-61882，Oracle E-Business Suite 12.2.3–12.2.14中的严重SSRF漏洞，评分9.8。
攻击链：通过服务器端请求伪造实现远程代码执行，强迫目标应用程序获取并执行恶意XSL载荷，无需部署加密程序即可完成数据窃取。
影响：哈佛大学、Envoy航空、罗技等超100家知名机构受影响。Clop全年凭借此漏洞及Cleo、Gladinet漏洞成为最具破坏力勒索团伙。
汇聚No More Ransom项目、卡巴斯基、Avast、Emsisoft、360等权威机构发布的免费解密工具，为受害者提供无需支付赎金的数据恢复方案。
支持Globe、TeslaCrypt、GandCrab、Babuk、Shade等30余种勒索病毒变种；2025年7月公开针对AI辅助开发（约20%代码由AI生成）的FunkSec勒索软件的免费解密工具。
访问官网 →Rakhni Decryptor支持Rakhni、Agent.iih、Dharma、Maze、Sekhmet、Egregor、Conti等数十个家族；另提供Rannoh、Shade等专用解密器，随新型勒索软件出现持续更新。
访问官网 →日本警察厅（NPA）于2025年7月联合欧洲刑警组织（Europol，FBI参与共享）正式发布。支持解密.phobos/.8base/.elbie/.faust/.LIZARD扩展名文件。该团伙全球勒索超1600万美元。
访问官网 →融合CISA勒索软件防御指南、NIST网络安全框架与行业最佳实践，构建覆盖预防、检测、响应、恢复四阶段的体系化防御框架。
基于Solar团队数百起实战处置经验总结的标准作业程序（SOP）：勒索攻击发生初期的处置动作直接决定损失大小，第一小时的正确响应是遏制灾难的关键窗口。
实战依据：Solar安全应急响应团队《勒索软件威胁态势与防护实践年度报告（2025）》之"黄金一小时"应急响应手册与真实攻击链路复盘
每个子课题均可独立拓展为深度专题页面，形成"总览—专题—子课题"的三级研究架构。
对全球活跃勒索组织进行持续性追踪，建立家族基因库、攻击者画像、TTP知识库与关联分析图谱。
深度解析AES、ChaCha20、RSA、ECC等加密算法在勒索软件中的实现，挖掘加密逻辑漏洞与弱点。
基于加密漏洞分析与密钥泄露追踪，开发免费解密工具，维护解密工具索引库与使用指南。
通过区块链分析追踪比特币、门罗币等加密货币流向，绘制赎金支付网络图谱，支撑执法打击。
构建覆盖预防、检测、响应、恢复四阶段的体系化防御框架，输出行业防御指南与最佳实践。
制定勒索攻击专项应急响应预案，建立数据恢复流程规范，开展实战化应急演练。
聚焦Clop等组织的供应链攻击模式，分析零日漏洞利用链，构建供应链安全风险评估模型。
分析AI技术对勒索攻击的赋能效应，研究AI生成式钓鱼、自动化漏洞利用、智能加密策略等前沿威胁。
基于MITRE ATT&CK框架与Solar团队数百起实战复盘，现代勒索攻击遵循高度标准化的七阶段链路。防御的每一层都应对应阻断特定阶段。
统一术语口径，便于教学、演练与跨团队沟通。共20个核心词条。
面向企业管理者与安全从业者的八个高频问题，依据CISA防御指南与国内实战处置经验作答。
不建议支付。理由：①支付不保证解密成功——部分家族交付的解密器本身缺陷严重，甚至二次加密；②支付等于资助犯罪生态，且可能面临法律与合规风险；③支付后企业会被标记为"可勒索目标"，重复攻击概率显著上升（Solar数据：35.2%的企业因清除不彻底遭遇二次攻击）。正确顺序：断网隔离 → 保全现场 → 报案溯源 → 查询免费解密工具（No More Ransom、360、Emsisoft等）→ 从干净备份恢复。
勒索攻击链的每个环节都在针对传统边界设备：凭证窃取绕过防火墙（27.78%）、钓鱼社工绕过杀毒（26.67%）、BYOVD在内核层致盲EDR、WSL让Windows防护看不到Linux加密器。德阳超市案例的教训就是"防火墙虽在，但策略不精、1433端口弱口令长期未察"。纵深防御必须覆盖：补丁管理、抗钓鱼MFA、EDR行为检测（含WSL场景）、微隔离、不可变备份五层联动，缺一不可。
三个最常见原因：①备份与生产网同源，域控失陷后备份被一并加密或删除——备份账户必须与域隔离；②只做了备份、没做过恢复演练——RPO/RTO只是纸面数字；③备份系统本身成为靶子——2025年攻击者普遍定向窃取Veeam等备份库凭据再摧毁备份。对策：3-2-1+不可变（WORM）+气隙隔离+每季度真实恢复演练。
重启会清空内存——部分勒索软件（如部分早期家族）的加密密钥或遗留痕迹仅存于内存，重启即永久丢失解密线索；盲目全盘查杀可能触发勒索程序的自毁/反分析机制，或破坏现场证据，导致溯源中断、无法定位初始入口。正确做法是断网隔离保全现场，由应急人员先做内存与日志镜像固化，再排查清除。
建立常态化暗网监测机制：订阅Ransomlive、RansomLook等开源情报源；将机构域名、邮箱后缀纳入泄露站监控服务；加入行业ISAC情报共享。若发现本机构数据被公示，说明数据窃取阶段已完成——应立即启动应急预案，排查外传通道，并按《国家网络安全事件报告管理办法》（2025年11月1日施行）履行报告义务，关基设施须在1小时内报告。
按优先级落实"五个一"：①关闭所有面向互联网的RDP/数据库默认端口（1433/3389等），远程访问走VPN+抗钓鱼MFA；②操作系统与业务软件开启自动更新，重点修补VPN、防火墙、文件传输类设备漏洞；③部署一台NAS做离线/异地备份，重要数据每日同步并定期抽查可恢复；④全员开展一次钓鱼邮件识别培训（重点防范"领导催办""发票""退款"话术）；⑤把应急处置电话（110网安/12387）写进值班手册。德阳超市案例表明，中小零售企业已成为LockBit重点猎场。
攻击侧：FunkSec已用AI生成约20%的代码并辅助编写勒索信；Lynx融合AI钓鱼工具；AI可批量生成针对目标机构的高仿真钓鱼内容、辅助漏洞挖掘与攻击链编排，"学徒级"攻击者即可发起工业化攻击。防御侧：AI驱动UEBA异常检测、大模型辅助日志研判与威胁狩猎可弥补人力缺口。关键认知：AI不是替代攻防，而是同时放大双方的"规模效应"——组织化、自动化程度更高的一方占优。
该说："立即拔掉网线/关闭WiFi，不要关机、不要重启、不要自行运行任何查杀或修复工具，离开工位等待应急人员。"不该说："你先试试能不能打开文件""重启一下看看""自己先杀毒"。同时要求员工保留屏幕上勒索信完整截图（含联系方式、倒计时、钱包地址），这是后续溯源与报案的关键证据。全员预演这句话，是成本最低、收益最高的防御投资。