安天工控安全组联合安天CERT针对Ryuk勒索软件进行深度分析。通过对Ryuk勒索软分析结果，希望引起工业企业对网络信息安全的重视。同时结合工业企业典型网络结构情况，建议工业企业应加强工业信息安全建设，强化端点安全防御，建立综合的防御体系。
利用公共卫生事件等社会热点进行攻击是社会工程学攻击的惯常方式，新冠肺炎疫情发生后，安天启动了重大社会事件网络安全应急值守制度，400-840-9234，安天应急响应团队24小时值守。
安天汇总分析相关组织多个批次的投放样本，根据攻击者擅长依托少量资源伪装变换的特点，我们将这组系列攻击活动命名为“折纸”行动（Operation PaperFolding）。
安天CERT对震网事件重新复盘，绘制整体运行框架、进行威胁框架下的映射解读、公布USB摆渡机理、分析扩散式传播原因、基于Tilded框架与Flamer框架的关联梳理震网、毒曲、火焰、高斯、Fanny、Flowershop的同源关系，分析震网样本数量众多的原因。思考检测引擎与威胁情报面临的挑战。
安天CERT监测到了多起由Magecart第五小组发起的利用KPOT木马进行窃密的事件，攻击者利用KPOT窃取了用户钱包、账户等多种信息。分析人员还梳理了Magecart十多个小组的目标、攻击过程等相应特点。
微软发布了紧急安全更新，修复了Internet Explorer 9/10/11版本中存在的远程代码执行漏洞。
安天CERT分析人员近期对Mykings僵尸网络C2服务器进行了持续监控，获得了大量受害主机信息，通过对受害主机信息的统计分析揭示了Mykings僵尸网络近期的规模变化和攻击特点。经验证，安天智甲可提供有效安全防护。
2019年8月13日，微软官方发布的漏洞中包含两个的远程桌面服务（Remote Desktop Services）远程代码执行漏洞。
针对近期引发广泛关注的电力系统安全事件，安天提出威胁猎杀的整体运行方法，希望以此指导开展实战化的安全运行，提高我国关键信息基础设施安全防护水平。
安天以态势感知视角复盘分析相关事件，提出建设动态防御体系的关键原则。
转发语：安天基于多年持续跟踪分析超高能力网空威胁行为体的分析成果，结合影子经纪人所泄露信息，以态势感知视角，完整复盘方程式组织攻击中东最大SWIFT服务商Eastnets的整个过程，并从威胁框架层面进行了映射解读。通过对这其高级威胁事件的分析梳理，进一步提出叠加演进能力导向的网络安全建设指引规划设计实践中的关键原则，以及建设可支撑实战化运行的战术型态势感知平台的重要意义。
"海莲花"（又名APT-TOCS、APT32、OceanLotus），被认为是来自中南半岛某国的APT攻击组织，自2012年活跃以来，一直针对中国的敏感目标进行攻击活动，是近几年来针对中国大陆进行攻击活动的最活跃的APT攻击组织之一。
安天CERT针对LockerGoga与Ryuk勒索软件进行了多个维度上的关联分析，揭示了LockerGoga与Ryuk勒索软件之间的关联性与同源性，确定了两个勒索软件的运营者为同一组织。
安天CERT近期发现响尾蛇（SideWinder）APT组织针对巴基斯坦进行的鱼叉式钓鱼邮件攻击事件，该组织近两年比较活跃，擅长使用Nday漏洞、PowerShell、代码混淆技术以及利用开源武器代码。据安全厂商公开资料和地缘关系分析来看，该组织很可能来自南亚某国，目前未发现相关活动与白象等相关威胁行为体的关联，但不排除是同一攻击背景来源方向或新的攻击组织或分支小组。
安天针对RedTeam Pentesting GmbH[1]公司披露的两个Cisco路由器安全漏洞的原理及POC进行了验证，确认了该漏洞的影响范围，并给出了相应的防护建议。
近日，安天微电子与嵌入式安全研发部（安天微嵌）针对SafeBreach[1]公司披露的Windows IoT[2]操作系统的安全漏洞进行了详细分析和验证。攻击者利用该漏洞可实现对目标设备的完全控制，如远程命令执行、文件上传/下载等。对此，安天微嵌成立了分析小组，分析验证了SafeBreach公司在GitHub中公布的该漏洞的原理及POC，对该漏洞的影响范围进行了确认，并针对不同应用场景给出了相应的防护建议。
近日，安天CERT（安全研究与应急处理中心）在梳理安全事件时发现几起针对马拉维国民银行（National Bank of Malawi）的钓鱼邮件攻击事件。针对具体的金融行业安全防护场景，钓鱼邮件攻击相较于高级网空行为体的威胁来说，是一种高危害但相对浅层次的威胁，力量单薄，属于较低水平的攻击，依托基础结构安全和纵深防御即能够有效地遏制和防御。
诈骗者通过构造邮件信头数据，让邮件用户收到一封“来自自己的邮件”，以此让用户相信自己的邮箱被入侵，来欺骗、恐吓受骗者主动向其指定比特币账户汇款，请大家提高警惕，不要汇款，以防上当。
TRISIS是一种攻击工业网络安全仪表系统（SIS）控制器的恶意代码，基于对施耐德的Tricon安全仪表系统处理过程及环境的具体细节深度了解，修改和部署新的PLC梯形图，以对目标产生符合攻击者预设的影响。与震网、乌克兰电网停电等攻击关键基础设施事件相比，这一事件具有多个值得关注的新特点。
近日，安天CERT（安全研究与应急处理中心）发现了Agent Tesla商业键盘记录器的新型变种。Agent Tesla原本只是个简单的键盘记录器，记录用户的每一次按键并回传至攻击者服务器。自2014年发展至今，Agent Tesla的开发者为其添加了更多的功能，使其从一个简单的键盘记录器变成了一个具有多种功能的商业键盘记录器。Agent Tesla会监控并收集受害者的键盘输入、剪贴板内容、屏幕截图信息以及受害主机上已安装的各种软件的凭据并采用HTTP POST的方式回传数据。当前，Agent Tesla已在互联网上贩卖，有被滥用的风险和趋势。
随着虚拟货币被疯狂炒作，伴随而来的是疯狂的“挖矿”行为。“挖矿”方式有两种：一种是solo式（直接连入中心网络工作），产出收益均归自己所有；另一种是连入矿池，收益与矿池分成。由于连入矿池的技术难度较低并且收益相对稳定，所以恶意“挖矿”会选择这种方式。“挖矿”的本质是计算符合条件的hash值并返回，采用的方式为爆破式计算，主要特征表现为消耗主机资源，浪费用户电量。
2018年2月28日，安天发布了《GandCrab勒索软件着眼“达世币”，安天智甲有效防护》一文，随后国外安全公司与警方获取了GandCrab勒索软件的C&C服务器访问权，因此一些被加密的文件得以解密。
安天在梳理网络安全事件时注意到针对ATM自动取款机的恶意代码家族Trojan/Win32.Prilex，其最初在2017年10月被披露用于针对拉丁美洲葡萄牙语系ATM的攻击活动。通过对Prilex分析发现，恶意代码使用Visual Basic 6.0（VB6）编写，代码中夹杂着“Ol?Jos?Boa tarde”等葡萄牙语，攻击者伪造并替换ATM应用程序屏幕，等待受害者输入密码，获取受害者密码信息后，将密码等数据回传到攻击者的远端服务器。
安天在近期捕获的样本中发现了一种利用CHM传播的银行木马，该银行木马来源于一种垃圾邮件传播的附件中。当用户收到这种垃圾邮件并打开附件中的CHM文件时，恶意软件就会执行一个小的PowerShell命令，其下载并执行第二阶段的PowerShell脚本，当用户执行脚本时，会创建一个计划任务来运行恶意软件，从而获得持久性。
近日，一款勒索达世币（DASH）的勒索软件GandCrab被发现，其为首个勒索比特币以外的虚拟货币的勒索软件，安天安全研究与应急处理中心（安天CERT）迅速对其展开分析。
GlobeImposter家族在2017年5月份被首次发现，目前发现的样本没有内网传播功能，一般使用包含混淆的JaveScript脚本的垃圾邮件进行传播，加密用户文件并勒索比特币。此次发现的样本为GlobeImposter家族的最新变种，其加密文件使用.CHAK扩展名，取消了勒索付款的比特币钱包地址及回传信息的“洋葱”网络地址，而是通过邮件来告知受害者付款方式，使其获利更加容易方便。
早在2014年，由国内电子厂商生产的一系列名为NetCore的路由器产品就已经被有关安全研究员披露有高权限的后门存在，该后门可能会影响全球大约300万台NetCore系列路由器等设备。此次53413/UDP后门被国外物联网僵尸网络Gafgyt家族再次利用，可见目前互联网上还存在大量有该后门的路由器设备，而这些设备很大可能被作为高危的潜在“肉鸡”。结合目前关联捕获的Gafgyt样本分析，发现其Tel/SSH扫描爆破的IP网段重点分布在越南（占比33.04%）、中国（占比26.08%）以及其他亚洲国家（占比17.82%），其地理位置与NetCore产品的主要销售对象重合度很大。通过安天捕风蜜网系统单日捕获的流量和云堤关联流量分析识别，全国有33230台“肉鸡”在线尝试与指定Gafgyt家族僵尸网络C2连接。
本年度报告主要以安天捕风蜜网和电信云堤流量监测数据为基础，针对2017年发生的僵尸网络DDoS（分布式拒绝服务）攻击事件进行汇总分析。报告给出了2017年全球范围内僵尸网络发起DDoS攻击的事件分布、地区分布情况以及攻击情报数据，并对黑客的攻击方法、攻击资源、僵尸网络家族进行了详细分析。 从整体的攻击情报数据来看，全球DDoS僵尸网络全年攻击态势呈“山”形，其主要爆发在第二季度的4、5、6三个月；在比特币交易价格处于暴涨期间，大部分DDoS僵尸网络被更换为挖矿僵尸网络，所以第四季度则处于相对低迷的阶段。