4月勒索威胁继续分化：跨平台攻击与数据泄露并重
勒索攻击的目标已不再局限于加密文件，数据窃取、公开施压和业务中断逐渐成为组合手段。新家族持续出现的同时，已知团伙仍在复用漏洞利用、远程登录和弱口令等成熟入口。企业若只关注病毒样本而忽略暴露资产、身份安全与恢复能力，仍难以降低实际损失。
BRIEF / 内容提要
事件与背景
4月出现HYFLOCK、Audit、BlackWater等多个双重勒索家族，传统勒索变种同步增加，攻击目标继续覆盖企业终端、服务器和互联网暴露业务。
ASSESSMENT / 风险研判
影响与判断
双重勒索把风险从系统可用性扩大到数据泄露、监管责任和声誉影响。新家族名称持续变化，但攻击入口仍集中在暴露服务、凭据和已知漏洞，说明防御重点不应随样本追逐而频繁变化。企业需要围绕关键数据和业务链建立统一判断标准，确认入侵、外传与加密三个阶段是否都能被发现和处置。
KEY POINTS / 关注重点
需要关注的信息
- 当月新增HYFLOCK、Audit、TiMc、BlackWater、Aur0ra和M3rx等双重勒索家族。
- 传统勒索软件同步出现TorBrowserTor、NBLock和JanaWare等多个新家族或变种。
- 勒索活动持续融合数据窃取和加密破坏，未启用既有安全能力仍是常见防护缺口。
VERIFICATION / 核验清单
建议优先确认
- 识别关键数据所在系统、允许访问的账号及正常外传路径，形成可验证的业务基线。
- 检查公网入口、远程登录和第三方接入的认证日志是否能关联到具体人员与设备。
- 确认数据外传、加密破坏和公开泄露三类场景均有独立的响应与通报流程。
ACTION / 应对建议
企业可采取的措施
- 持续盘点公网资产、远程管理入口和第三方接入点，按暴露程度安排加固顺序。
- 为高权限账号启用多因素认证，并监测异常远程登录和短时间批量文件访问。
- 分别演练数据泄露、系统加密和核心业务中断场景，验证恢复时间是否满足要求。