对于“方程式组织”，在过去的两年中，安天已经连续发布了三篇分析报告：在《修改硬盘固件的木马——探索方程式（EQUATION）组织的攻击组件》 中，安天对多个模块进行了分析，并对其写入硬盘固件的机理进行了分析验证。；在《方程式（EQUATION）部分组件中的加密技巧分析》报告中，对攻击组件中使用的加密方式实现了破解；在《从“方程式”到“方程组”——EQUATION攻击组织高级恶意代码的全平台能力解析》报告中，安天独家提供了方程式Linux和Solaris系统的样本分析，这也是业内首次正式证实这些“恶灵”真实存在的公开分析。
安天从2015年2月起，陆续公布了两篇针对方程式攻击组织的分析报告，分析了其针对Windows平台的恶意代码组件构成、对硬盘的持久化能力和对加密算法的使用。本报告则将首次公布安天对方程式攻击组织针对Solaris平台和Linux平台的部分样本分析，我们也可以自豪的说，这是业内首次正式证实这些幽灵真实存在的公开分析。
安天安全研究与应急处理中心在北京时间10月22日下午启动高等级分析流程，针对美国东海岸DNS服务商Dyn遭遇DDoS攻击事件进行了跟进分析。安天团队分析认为，此事件有一定的政治因素背景，涉及到IoT（Internet of Things，物联网）设备安全等多种因素，在表象的DDoS攻击和DNS安全之外，依然有很多值得关注和研究的问题。
安天CERT这篇分析笔记完成于2015年1月18日，但撰写后并未公开，为让安全工作者更进一步了解IoT僵尸网络的威胁，安天CERT决定公开本报告，作为《IOT僵尸网络严重威胁网络基础设施安全》一文的参考资料。
在过去的四年中，安天的工程师们关注到了中国的机构和用户反复遭遇来自“西南方向”的网络入侵尝试。这些攻击虽进行了一些掩盖和伪装，我们依然可以将其推理回原点——来自南亚次大陆的某个国家。尽管我们积极地提醒和协助我们的客户进行改进防护，并谨慎而有限地披露信息、给予警告，但这种攻击并未偃旗息鼓，恰恰相反，其却以更高的能力卷土重来。安天本报告披露其中两组高频度攻击事件，尽管我们尚未最终确定这两个攻击波的内在关联，但可以确定的是其具有相似的目的和同样的国家背景，我们将其两组攻击统称为——“白象行动”。
Antiy CERT近期发现勒索软件TeslaCrypt的最新变种TeslaCrypt 4.0，它具有多种特性，例如：对抗安全工具、具有PDB路径、利用CMD自启动、使用非常规的函数调用、同一域名可以下载多个勒索软件等。尤其值得一提的是，通常勒索软件在感染受害主机后均会修改被加密文件的扩展名，如 TeslaCrypt早期版本（.vvv、.mp3、.ccc、.abc、.ttt等），其他勒索软件Locky、CTB-Locker（.Locky，.oinpgca）。而TeslaCrypt的最新变种具有在加密文件后不修改原文件扩展名的特点。
PowerShell具有许多实用与强大的功能，在方便用户使用的同时，也为不法份子打开了便捷之门。攻击者可以利用PowerShell命令下载恶意代码到用户系统中运行，这种方法可以躲避部分反病毒产品的检测；同时，还可以通过命令行调用PowerShell将一段加密数据加载到内存中执行，实现这种无实体文件的攻击方法。本文将对近期发现的PowerShell攻击事件进行分析。
这是一起以电力基础设施为目标；以BlackEnergy等相关恶意代码为主要攻击工具，通过BOTNET体系进行前期的资料采集和环境预置；以邮件发送恶意代码载荷为最终攻击的直接突破入口，通过远程控制SCADA节点下达指令为断电手段；以摧毁破坏SCADA系统实现迟滞恢复和状态致盲；以DDoS服务电话作为干扰，最后达成长时间停电并制造整个社会混乱的具有信息战水准的网络攻击事件。
安天安全研究与应急处理中心（安天CERT）发现一款新的勒索软件家族，名为“Locky”，它通过RSA-2048和AES-128算法对100多种文件类型进行加密，同时在每个存在加密文件的目录下释放一个名为_Locky_recover_instructions.txt的勒索提示文件。经过安天CERT研究人员分析发现，这是一类利用垃圾邮件进行传播的勒索软件，是首例具有中文提示的比特币勒索软件。
面对威胁高速演进变化、防御技术同样快速改善的现状，无论我们做怎样的努力，都已无法用一篇年报来涵盖网络安全威胁的全景，这亦使参与本文档编写的安天分析工程师们无比纠结。对于安天安全研究与应急处理中心（安天CERT）来说，在数年前，年报工作是相对简单的，我们只需从恶意代码存储和分析的后台系统导出足够多的统计图表，就可以构成一篇年度报告。在网络安全领域，恶意代码自动化分析是一个成型较早的基础设施，恶意代码样本集更是一个非常容易进行统计的大集合，这一度让我们偏离了网络安全的本质，弱化了我们对保障用户价值的信念。
从去年开始，安天颠覆了自身传统的数据表年报的风格，面对当前威胁的纵深化、复杂化特点，大量简单的统计已经失去意义，我们非常明确地提出了做“观点型年报”的自我要求。尽管我们拥有更多的样本、更多的数据，但我们依然不敢说已经能够驾驭安全大数据，目前我们能做到的只有学习和思考，我们要学习更丰富的数据分析方式，我们要做能独立思考、有观点、有立场的安全团队，而非做大数据和计算资源的奴隶。
安天追影小组通过安天态势感知系统发现了一款带有过期签名的DDoS恶意程序，该DDoS样本包含多种DDoS攻击方式，并主要针对国内的在线销售减肥药、在线赌博、电子交易平台进行攻击。攻击者对灰色或非法网站进行DDoS攻击的目的可能是敲诈或者同业竞争。……
2015年12月2日22时25分，安天监控预警体系感知到如下信息线索：某知名作家在新浪微博发布消息，曝光有人以发送"采访提纲"为借口，利用微博私信功能，发送恶意代码链接。 安天安全研究与应急处理中心（安天CERT）根据微博截图指向的链接，下载该样本并连夜展开分析。随着分析的不断深入，我们看到了这样的一幕……
安天威胁态势感知系统2015年12月2日捕获到有新的传播特点的敲诈者变种邮件，其不再采用直接发送二进制文件载荷的传播模式，而是以一个存放在压缩包中的JS脚本为先导。安天追影分析小组对相关事件和样本进行了分析。该样本系TeslaCrypt的另一个变种TeslaCrypt 2.x，邮件附近是一个zip压缩文件，解压zip文件得到一个js文件，运行js文件，会下载TeslaCrypt2.x运行，遍历计算机文件，对包括文档、图片、影音等186种后缀格式文件进行加密，加密完成后打开敲诈者的主页，在指定期限内需要支付500美元才能得到解密密钥，过期需要支付1000美元。因为TeslaCrypt2.x变种改变了密钥的计算方式，采用了ECDH算法，黑客与受害者双方可以在不共享任何秘密的情况下协商出一个密钥，采用此前思科等厂商发布的TeslaCrypt解密工具[1]已经无法进行解密。
该家族最早出现于2011年，以窃取FTP、邮箱、网站、比特币等账号和密码为目的，至今已有数十万变种。Tepfer主要通过注册表项或子键获取FTP的账号并获取安装目录下的.dat加密文件，通过破解算法获取密码；通过自带密码表尝试破解系统开机密码并辅助用来破解chrome浏览器缓存的网站登陆账号、密码信息；通过.dat文件窃取比特币信息。
Tepfer家族可以盗取60种以上的FTP客户端软件所保存的密码；10种以上的浏览器保存的密码；31种比特币信息；还能获取多个邮件客户端所保存的密码，可推测恶意代码作者熟练掌握各种密码的存储方案和破解方法。该家族是一个无需交互、自动窃密并上传的木马家族，主要利用垃圾邮件进行传播，并将窃取的这些信息加密后上传到指定的网站。
2015年9月14日起，一例Xcode非官方版本恶意代码污染事件逐步被关注，并成为社会热点事件。多数分析者将这一事件称之为“XcodeGhost”。攻击者通过对Xcode进行篡改，加入恶意模块，并进行各种传播活动，使大量开发者使用被污染过的版本，建立开发环境。经过被污染过的Xcode版本编译出的APP程序，将被植入恶意逻辑，其中包括向攻击者注册的域名回传若干信息，并可能导致弹窗攻击和被远程控制的风险。