以经济利益为驱动的网络犯罪仍然是最大的威胁来源

以经济利益为驱动的威胁行为者——包括勒索软件团伙——仍然是全球网络威胁的最大来源，在 2024 年跟踪的活跃威胁团体中占比 55%，比 2023 年上升了 2 个百分点，比 2022 年上升了 7%，这在某种程度上证明了网络犯罪确实有其“赚头”。

至少，根据 Google Cloud 的 Mandiant 本周发布的最新 M-Trends 报告显示——这是一份对网络安全领域进行年度深入剖析的报告。

网络犯罪的主导地位本身并不令人意外，根据 Mandiant 的观点，网络犯罪分子正变得更加复杂、多样化且手段更为先进。

“网络威胁持续呈现出更高的复杂性趋势，并且一如既往地影响着各类目标行业，” Mandiant Consulting EMEA 的常务董事 Stuart McKenzie 说道。

“以经济利益为驱动的攻击仍然是主要类别。虽然勒索软件、数据窃取和多层次敲诈勒索是并且将继续成为全球重大网络犯罪问题，但我们也在跟踪信息窃取恶意软件的采用率上升以及对 Web3 技术（包括加密货币）的日益利用。”

McKenzie 补充道：“人工智能日益增长的复杂性和自动化能力，通过使攻击更具针对性、规避性和广泛性，进一步加剧了这些威胁。各组织需要主动收集情报，以抢先应对这些趋势，并实施流程和工具，持续收集和分析来自不同来源的威胁情报。”

去年，威胁行为者入侵受害环境的最常用手段是利用已公开的漏洞——全球 33% 的入侵通过这种方式发起，在 EMEA 地区这一比例为 39%。其次是利用通过欺骗或窃取获得的合法凭证，占 16%，随后是电子邮件网络钓鱼，占 14%，接着是网站漏洞利用，占 9%，以及重复利用先前入侵行为，占 8%。

而在 EMEA 地区，情况略有不同，其中电子邮件网络钓鱼成为 15% 网络攻击的入口，而暴力破解攻击则占 10%。

一旦成功潜伏到目标环境并开始行动，威胁行为者全球平均需要 11 天来熟悉环境、实施横向移动并策划最终的致命一击。安全领域称这一时期为“驻留时间”，相比 2023 年平均延长了约 24 小时，但与 2022 年（网络犯罪分子平均驻留 16 天）相比则明显减少。有迹象表明，这一下降可能与一些技术因素相关，其中很可能包括网络恶棍采用人工智能技术。

有趣的是，EMEA 地区的中位数驻留时间显著高于全球水平，达到 27 天，比 2022 年长了 5 天。

当威胁行为者被发现潜伏在某一 IT 环境中时，57% 的受害者是通过外部渠道得知这一情况——例如通过道德黑客、渗透测试或红队演练、类似 Mandiant 的威胁情报组织，或在许多情况下直接由勒索软件团伙告知；其余 43% 则是由内部安全团队等发现的。EMEA 地区的数据与此基本一致。

国家级威胁：声势浩大但影响较小

国家级威胁行为者，或称高级持续性威胁（APT）团体，由于间谍活动那种持久的浪漫色彩以及现实中错综复杂的全球地缘政治环境，经常引起网络安全界的广泛关注与讨论。

然而，与网络犯罪分子相比，国家级威胁行为者仅占威胁活动的 8%，这一比例实际上比两年前下降了几个百分点。

Mandiant 在 2024 年共跟踪了 4 个活跃的高级持续性威胁（APT）团体，以及 297 个未分类（UNC）团体——这意味着关于这些团体的活动信息还不足以做出明确判断，因此其中可能含有潜在的 APT。

实际上，存在着显著的重叠现象，Mandiant 有时会将某些团体升级为成熟的 APT——例如 Sandworm，如今在其威胁行为者分类体系中被称作 APT44。

APT44 是 2024 年观察到的 4 个活跃 APT 之一。该团体因支持俄罗斯入侵而对乌克兰基础设施发动攻击而臭名昭著，长期支持克里姆林宫的地缘政治目标，并曾参与迄今为止最大、最具破坏性的网络攻击事件之一，包括 NotPetya 事件。

2024 年，新指定的还有 APT45，该团体代表朝鲜政权开展行动，Mandiant 将其描述为自 2009 年左右开始活跃的“中等复杂性”运营者。