去年的WannCry勒索病毒，让全社会都关注到了这类新生的恶意软件。从去年下半年开始，勒索病毒在国内的攻击重点开始转向了各类服务器，尤其以windows服务器为甚。黑客利用弱口令和各类系统漏洞，软件漏洞向服务器远程渗透投毒，经常出现一个服务集群多台主机被感染的情况，造成的影响轻则服务中断，有严重的更影响到整个公司的运营，已经成为影响企业安全的一大问题。
趋势与拦截数据
针对服务器的爆破攻击，一直是服务器主机面临的一大类安全风险，我们对过去近两个月来的爆破攻击拦截量进行了统计，虽然从数据波峰来看涨势并不明显，但波谷却一直在稳步提升，整体趋势还是有进一步提升的风险性。
自去年(2017年)下半年以来，服务器入侵就成为了勒索病毒传播的主流手段。到本年度，通过入侵服务器植入勒索病毒的疫情已经在所有勒索事件中的绝对主力，反倒是之前规模较大的个人PC用户中招情况有所好转。
与针对个人用户的勒索攻击有所不同，通过入侵服务器植入勒索病毒的方法受服务器整体数量和植入方式的影响，导致整体感染量级不会像个人PC一样，动辄上千。服务器一般数据资产价值要大大高于个人PC，虽然感染的绝对量没有个人PC用户高，但造成的损失和影响范围缺远高于个人PC用户。此外，值得注意的是，虽然针对服务器的入侵手段目前还是以RDP弱口令入侵为主要的入侵方案——这主要还是得益于该方案技术成熟且广泛适用于大多数Windows服务器系统。但通过漏洞入侵系统也渐成趋势：以目前流行的WebLogic漏洞入侵案例来说，就是利用了WebLogic的WLC组建漏洞对服务器实施渗透入侵。这主要是由于去年爆出的WLC组建CVE-2017-10271漏洞导致——虽然该漏洞已经在去年10月被Oracle修复，但由于服务器系统中运行的服务往往不能轻易中断，更新经常不够及时，也有部分管理员不愿进行更新。导致黑客可以利用已公开的漏洞攻击那些尚未修复漏洞的服务。此类入侵手段将会成为黑客入侵服务器勒索投毒的新突破口，也希望广大的服务器管理员能提起重视，及时关注安全趋势并修复有漏洞的软件。
被攻击用户分析
我们对今年被攻击用户的情况从行业分布、地域分布、系统、被攻击原因等多方面做了统计分析，希望能帮助广大管理员提高安全防护效果。
1. 行业分布
我们对今年1月到4月中招反馈情况统计分析发现，互联网，工业企业，对外贸易与批发零售，政府机构合计占比超过一半。其中尤以中小企业与中小互联网企业最为突出，企业在网络安全方面投入不足，而产品销售维护又严重依赖互联网信息系统，在中招之后只能选择支付赎金解决，这也进一步刺激了黑客的攻击行为。对外贸易与批发零售行业，由于对外交流广泛，也容易成为境外黑客的攻击目标。地方政府机构服务器、网站，一直以来都是黑客攻击重灾区，由于缺乏专业的安全运维，漏洞修补不及时，被黑客攻击拿下。
2. 地域分布
从地域分布看，信息产业发达的广东省首当其冲，位列第一，占比接近一半。之后是江苏，浙江，山东，上海，北京等。地域分布情况看，主要和信息产业发展情况相关。
图：全国各地区感染量占比分布图
3. 系统分布
从操作系统分布来看，作为服务器使用，感染勒索病毒的机器中，windows server 2008与windows server 2008 R2是绝对的主力，很多用户使用的还是较老版本的操作系统，甚至有已经停止支持多年的windows server 2003。
4. 被攻击原因分布
我们统计到的攻击原因看，第一大类是由“弱口令”造成的，远程桌面服务被爆破，黑客远程登录用户计算机投毒，占比超过一半。从我们实地调查分析情况看，很多远程爆破并不是短时间完成的，而是持续一段时间的攻击。用户在攻击过程中并未察觉异常，直至机器被拿下并投毒，再去查看日志才发现的问题!
而排第二位的，是共享文件夹被加密的情况，这一类情况相对比较“无辜”。被加密的是在局域网中共享的文件，这类一般是由于局域网中其它机器感染了勒索病毒，勒索病毒通过搜索局域网中共享文件夹，找到并加密了这些文件，共享文件的主机本身并未中木马。
此外，如前所述，软件漏洞和系统漏洞最近也常被用来投放木马，如上文提到的WebLogic的反序列化漏洞，Apache