2026年第三季度IT威胁演变--非移动端统计

原创

Securelist
Securelist

网络与信息安全参考

2026年11月11日 07:45
山东

去阅读

THREAT INTELLIGENCE2026.11.10

IT 威胁演进 · 2026 Q3

非移动端统计：Windows、macOS 与 IoT 设备的恶意软件态势与关键数据

DATA

3.11 亿次在线攻击 · 8.1 万勒索受害者 · 21.7 万挖矿受害用户

RANSOMWAREIoT

EDITOR'S NOTE

统计口径

本报告的统计数据均基于卡巴斯基产品返回的检测判定（verdict），除非另有说明；相关信息由同意共享统计数据的卡巴斯基用户提供。

同一系列另发布《IT threat evolution in Q3 2026. Mobile statistics》（2026 年第三季度 IT 威胁演进·移动端统计）。

01

PART

季度数据概览

QUARTERLY FIGURES

2026 年第三季度：

• 卡巴斯基产品拦截了超过 3.11 亿次源自在线资源的攻击。
• Web 反病毒组件对 4700 万个唯一链接作出响应。
• 文件反病毒组件拦截了超过 2300 万个恶意对象和潜在不受欢迎对象。
• 新发现 4470 个勒索软件变种。
• 超过 81,000 名用户遭遇勒索软件攻击。
• 在数据被发布在威胁行为者数据泄露站点（DLS）上的全部勒索软件受害者中，15% 是 Qilin 的受害者。
• 超过 217,000 名用户遭到挖矿程序攻击。

02

PART

勒索软件

RANSOMWARE

TRENDS季度趋势与要点2.1

威胁行为者遭打击

8 月，Ransom Cartel 勒索软件即服务（RaaS）行动的创建者兼首席管理员被判处 16 年监禁。该罪犯开发了这款勒索木马，被捕时在 RaaS 行动中处于核心位置：负责运营附属成员（affiliate）计划、招募附属成员、向其提供情报与攻击工具、对接初始访问中间商（initial access broker）、与受害者沟通，以及处理赎金支付。

9 月，Ryuk RaaS 团伙的一名成员被判处两年监禁、三年监督释放。2019 至 2020 年间，他与同伙入侵了多家机构的网络，并用 Ryuk 木马加密数据。据公开报道，数百台工作站和服务器被攻陷。检方称，该攻击者从受害者处共收取约 1610 枚比特币（BTC）的赎金。

同样在 9 月，Conti RaaS 团伙的一名成员被判处四年监禁。他被控在 2021 和 2022 年攻击多家企业。除实施攻击外，他还负责开发该团伙的部分恶意软件工具集。

漏洞与攻击

7 月，研究人员发布报告称，Qilin 团伙利用了 Palo Alto Networks 防火墙软件中的 CVE-2026-0257 漏洞。该漏洞允许攻击者绕过身份认证，在无需有效账户的情况下攻陷受害者网络。

CISA（美国网络安全和基础设施安全局）在其「已知被利用漏洞目录」（KEV）中，公布了一批被勒索团伙积极利用的 CVE 漏洞：

• SonicWall SMA1000 远程访问网关中的 CVE-2026-15409 / CVE-2026-15410。CISA 未指明哪些团伙利用了这些漏洞，但研究人员已将相关活动与 INC Ransom 关联。
• Microsoft SharePoint Server 中的 CVE-2026-45659，可使一个已通过认证的低权限攻击者实现远程代码执行。
• Microsoft Windows 中的 CVE-2025-60710，可使攻击者在本地提升权限。
• VMware vCenter 中的 CVE-2026-59310，可导致未认证的远程代码执行。
• WatchGuard Firebox 中的 CVE-2025-14733，同样可导致未认证的远程代码执行。
• JetBrains TeamCity 中的 CVE-2026-63077，攻击者可通过 agent 轮询协议绕过身份认证，以 TeamCity 服务进程的权限执行操作系统命令。在这一权限层级上执行命令，可能获得对配置、凭据、CI/CD 流水线等资源的访问权限。

GROUPS最活跃的团伙2.2

本节按各团伙数据泄露站点（DLS）新增的受害者数量，列出产出最高的勒索团伙。Qilin（15.39%）蝉联榜首，与上一季度相同。紧随其后的是 The Gentlemen（7.89%），该团伙在第一季度尤为活跃，但第二季度未进入榜单。榜单上值得关注的新面孔是 Deadlock（4.46%），这是一个相对年轻的勒索软件家族，最早于 2025 年 7 月被披露。

图 1｜统计期内各团伙按其 DLS 新增受害者数量，占所有受监测 DLS 公布的受害者总数的百分比

VARIANTS新增勒索软件变种数量2.3

第三季度，卡巴斯基产品检测到 3 个新的勒索软件家族和 4470 个新变种，数量超过上一季度的 1.5 倍。

图 2｜新增勒索软件变种数量，2025 年 Q3 至 2026 年 Q3

VICTIMS遭受勒索软件木马攻击的用户数量2.4

统计期内，我们的产品保护了 81,556 名唯一用户免受勒索软件攻击。用户遭遇勒索软件最频繁的月份是 9 月。

图 3｜遭受勒索软件木马攻击的唯一用户数量，2026 年 Q3

GEO TOP 10遭受勒索软件木马攻击的国家和地区 TOP 102.5

国家/地区\*

%\\

1

中国

0.83%

2

韩国

0.65%

3

喀麦隆

0.51%

4

巴基斯坦

0.47%

5

塔吉克斯坦

0.45%

6

伊拉克

0.43%

7

中国香港

0.41%

8

乌兹别克斯坦

0.40%

9

孟加拉国

0.33%

10

土库曼斯坦

0.32%

\* 已排除卡巴斯基用户数量相对较少（少于 50,000）的国家和地区。

\\ 遭受勒索软件木马攻击的唯一用户，占该国/地区全部唯一卡巴斯基用户的百分比。

FAMILIES最常见的十种勒索软件木马家族2.6

名称

判定名

%\*

1

（通用判定）

Trojan-Ransom.Win32.Gen

32.48%

2

（通用判定）

Trojan-Ransom.Win32.Crypren

6.31%

3

WannaCry

Trojan-Ransom.Win32.Wanna

4.90%

4

（通用判定）

Trojan-Ransom.Win32.Encoder

4.39%

5

（通用判定）

Trojan-Ransom.Win32.Agent

4.33%

6

（通用判定）

Trojan-Ransom.Python.Agent

3.09%

7

（通用判定）

Trojan-Ransom.PowerShell.Agent

2.79%

8

（通用判定）

Trojan-Ransom.Win32.Phds

2.73%

9

（通用判定）

Trojan-Ransom.Win32.Phny

2.20%

10

（通用判定）

Trojan-Ransom.MSIL.Agent

2.10%

\* 遭受特定勒索软件木马家族攻击的唯一卡巴斯基用户，占遭受该类威胁攻击的全部唯一用户的百分比。

03

PART

挖矿程序

MINERS

VARIANTS新增挖矿程序变种数量3.1

2026 年第三季度，卡巴斯基解决方案共检测到 2197 个新增挖矿程序变种。在第二季度的激增之后，可以说态势已回归去年那种较为平缓的常态。

图 4｜新增挖矿程序变种数量，2026 年 Q3

VICTIMS遭受挖矿程序攻击的用户数量3.2

第三季度，我们在全球 217,024 名唯一卡巴斯基用户的计算机上检测到挖矿程序攻击。

图 5｜遭受挖矿程序攻击的唯一用户数量，2026 年 Q3

GEO TOP 10遭受挖矿程序攻击的国家和地区 TOP 103.3

国家/地区\*

%\\

1

土库曼斯坦

2.32%

2

坦桑尼亚

1.43%

3

马里

1.21%

4

塞内加尔

1.05%

5

中国

1.03%

6

孟加拉国

0.98%

7

葡萄牙

0.7%

8

科特迪瓦

0.68%

9

哥斯达黎加

0.65%

10

埃塞俄比亚

0.61%

\* 已排除卡巴斯基用户数量相对较少（少于 50,000）的国家和地区。

\\ 遭受挖矿程序攻击的唯一用户，占该国/地区全部唯一卡巴斯基用户的百分比。

04

PART

macOS 攻击

ATTACKS ON MACOS

HIGHLIGHTS季度要点4.1

第三季度初，Jamf 研究人员发现了一种新的窃密程序 PamStealer。其独特之处在于使用可插拔认证模块（PAM）来校验用户输入的管理员密码。

本季度，Socket 研究人员发现了几起供应链攻击，攻陷了 npm、PyPI 和 Cargo（Rust 包管理器）上的热门软件包。这些包中的恶意载荷在影响其他系统的同时，也针对 macOS。例如 7 月 11 日，一个被感染的 npm 包 jscrambler 被发布，其恶意模块是用 Rust 编写的窃密程序。该窃密程序的目标包括加密钱包、各类服务与浏览器中的机密信息、MCP 服务器配置，以及面向 AI 智能体的 API 密钥。8 月，研究人员检测到针对 Rust crate arrayref、internment 和 append-only-vec 的攻击，其向受害者设备投递了一个 Rust 后门。9 月，MemTensor 的 npm 与 PyPI 包恶意版本被发布，投递了一个 Go 后门，目标是各类服务的机密信息、配置与 API 令牌。

8 月，Jamf 研究人员还报告发现了一个新后门 Overlord。它以伪造的 Zoom 安装程序形式分发，具备相当全面的间谍软件功能——这在 macOS 后门中并不常见：它可以通过麦克风窃听、通过摄像头窥视用户、截取屏幕，并记录键盘输入。

第三季度，我们还发现了 MacSync 加密货币窃密木马与后门的更新版本，其载荷投递方式发生了显著变化。

TOP 20macOS 面临的二十种主要威胁4.2

图 6｜遭遇该恶意软件的唯一用户，占卡巴斯基 macOS 安全解决方案全部受攻击用户的百分比（绿色为 2026 Q2，红色为 2026 Q3）

\* 由于部分判定被追溯修订，上一季度的数据可能与先前公布的数据略有出入。

Ngrok——一套兼具合法用途与恶意用途的网络隧道工具——占比继续上升，位居榜首。我们还观察到，知名恶意软件 Amos 的检出量有所增加，既包括传统的窃密版本，也包括具备后门功能的版本。

GEO TOP 10按受攻击用户占比排序的国家和地区 TOP 104.3

国家/地区

%\* 2026 Q2

%\* 2026 Q3

巴西

1.14%

1.13%

中国香港

0.59%

0.92%

中国

0.55%

1.04%

印度

0.55%

0.41%

德国

0.36%

0.33%

新加坡

0.30%

0.85%

俄罗斯

0.21%

0.24%

日本

0.18%

0.21%

荷兰

0.16%

0.31%

\* 遭遇 macOS 威胁的唯一用户，占该国/地区全部唯一卡巴斯基用户的百分比。

05

PART

IoT 威胁统计

IOT THREAT STATISTICS

本节呈现的是针对卡巴斯基 IoT 蜜罐的攻击统计数据。攻击来源的地理数据基于发起攻击设备的 IP 地址。

PROTOCOL按协议的分布5.1

2026 年第三季度，通过 SSH 攻击卡巴斯基蜜罐的设备占比升至 18.42%。

图 7｜按发起攻击设备的唯一 IP 地址数量统计的受攻击服务分布

Telnet 与 SSH 协议上的攻击分布呈现出相同趋势。

图 8｜卡巴斯基蜜罐中网络犯罪会话的分布

TOP 10投递到 IoT 设备的十种主要威胁5.2

图 9｜在一次成功攻击后投递到受感染设备的各类威胁，占全部投递威胁数量的比例（绿色为 2026 Q2，红色为 2026 Q3）

Mirai 在 IoT 威胁总体分布中的占比下降，而其他投递恶意软件的僵尸网络威胁有所增长。

HONEYPOTS针对 IoT 蜜罐的攻击5.3

在 SSH 攻击的分布中，荷兰、保加利亚和美国占比最高；其中源自保加利亚的攻击占比增长了四倍。德国紧随其后，占比下降了约一半。

国家/地区

2026 Q2

2026 Q3

荷兰

21.18%

27.70%

保加利亚

5.50%

20.05%

美国

6.76%

10.17%

德国

16.73%

8.36%

罗马尼亚

4.06%

4.20%

印度

2.78%

3.52%

巴拿马

4.67%

2.19%

印度尼西亚

1.54%

2.06%

越南

3.91%

2.01%

新加坡

1.99%

1.42%

巴基斯坦在 Telnet 攻击中的占比持续攀升，达到 47.73%。

国家/地区

2026 Q2

2026 Q3

巴基斯坦

36.60%

47.73%

中国

35.62%

33.83%

俄罗斯

8.75%

4.65%

印度

4.19%

2.77%

中国台湾

0.47%

1.64%

阿根廷

0.12%

1.45%

菲律宾

0.95%

1.08%

美国

3.03%

0.90%

印度尼西亚

1.52%

0.81%

德国

0.05%

0.75%

06

PART

通过 Web 资源的攻击

ATTACKS VIA WEB RESOURCES

本节的统计数据基于 Web 反病毒组件的检测判定——当用户从恶意或受感染的网页下载可疑对象时，该组件负责提供防护。这些恶意页面由网络犯罪分子刻意创建。承载用户生成内容的网站（如留言板）以及被攻陷的合法站点，都可能成为感染源。

GEO TOP 10作为 Web 攻击来源的国家和地区 TOP 106.1

以下统计按国家/地区展示卡巴斯基产品在用户计算机上拦截的互联网攻击来源分布（包括跳转到漏洞利用的网页、包含漏洞利用与其他恶意软件的站点、僵尸网络 C&C 中心等）。每一台唯一主机都可能发起一次或多次 Web 攻击。

为确定 Web 攻击的地理来源，我们将每个域名与其实际承载的 IP 地址匹配，再对该地址进行地理定位（GeoIP）。

2026 年第三季度，卡巴斯基解决方案在全球范围内拦截了 311,083,655 次源自在线资源的攻击。Web 反病毒组件被 46,936,926 个唯一 URL 触发。

图 10｜按国家/地区划分的 Web 攻击，2026 年 Q3

ONLINE RISK用户面临最高在线感染风险的国家和地区6.2

为评估不同国家和地区用户计算机经互联网感染恶意软件的风险，我们计算了统计期内各地卡巴斯基用户中 Web 反病毒组件被触发的比例。所得数据可反映不同国家和地区计算机所处环境的「攻击性」程度。

该排名仅包含被归类为 Malware（恶意软件）的恶意对象所发起的攻击。我们的计算排除了 Web 反病毒组件对潜在危险或不受欢迎程序（如 RiskTool 或广告软件）的检出。

国家/地区\*

%\\

1

孟加拉国

12.03

2

中国台湾

8.06

3

委内瑞拉

7.92

4

越南

7.71

5

印度

7.61

6

比利时

6.80

7

法国

6.54

8

尼泊尔

6.48

9

希腊

6.22

10

阿联酋

6.13

11

葡萄牙

6.10

12

德国

5.75

13

中国

5.71

14

卡塔尔

5.70

15

塞尔维亚

5.58

16

奥地利

5.57

17

斯里兰卡

5.40

18

澳大利亚

5.32

19

意大利

5.31

20

摩洛哥

5.27

\* 已排除卡巴斯基用户数量相对较少（少于 10,000）的国家和地区。

\\ 遭受基于 Web 的 Malware 攻击的唯一用户，占该国/地区全部唯一卡巴斯基产品用户的百分比。

本季度平均而言，全球 4.34% 的上网用户计算机至少遭受过一次基于 Web 的 Malware 攻击。

07

PART

本地威胁

LOCAL THREATS

用户计算机本地感染的统计数据是一项重要指标。这类威胁包括：通过感染文件或可移动介质侵入目标计算机的对象，以及最初以非开放形式进入计算机的对象——后者的典型例子是封装在复杂安装程序中的程序和加密文件。

本节数据基于对以下统计的分析：文件反病毒在硬盘文件被创建或访问时对其进行扫描所产生的统计，以及对可移动存储介质的扫描结果。统计数据来自文件反病毒组件访问时扫描（OAS）与按需扫描（ODS）模块的检测判定，涵盖位于用户计算机或已连接的可移动介质（如闪存盘、相机存储卡、手机、外置硬盘）上的恶意程序检出。

2026 年第三季度，我们的文件反病毒组件记录了 23,733,652 个恶意对象和潜在不受欢迎对象。

LOCAL RISK用户面临最高本地感染风险的国家和地区7.1

我们针对每个国家和地区，计算了统计期内计算机上文件反病毒组件至少被触发一次的卡巴斯基用户占比。这些统计数据反映了全球不同国家和地区个人计算机的感染水平。

请注意，该排名仅包含被归类为 Malware 的恶意对象所发起的攻击。我们的计算排除了文件反病毒组件对潜在危险或不受欢迎程序（如 RiskTool 或广告软件）的检出。

国家/地区\*

%\\

1

土库曼斯坦

45.68

2

布隆迪

31.54

3

也门

30.31

4

中国

29.93

5

阿富汗

29.41

6

莫桑比克

26.61

7

塔吉克斯坦

26.29

8

刚果（布）

25.51

9

乌兹别克斯坦

25.25

10

喀麦隆

24.08

11

刚果（金）

23.55

12

乌干达

21.81

13

柬埔寨

21.74

14

乍得

21.60

15

叙利亚

21.43

16

尼加拉瓜

21.02

17

南苏丹

20.72

18

孟加拉国

19.78

19

马里

19.59

20

安哥拉

18.25

\* 已排除卡巴斯基用户数量相对较少（少于 10,000）的国家和地区。

\\ 本地 Malware 威胁被拦截的唯一用户，占该国/地区全部唯一卡巴斯基产品用户的百分比。

第三季度，全球平均 10.88% 的用户计算机至少检出过一次本地 Malware 威胁。

俄罗斯在该排名中的数值为 9.37%。

TAGS原文标签

Backdoor、SSH、Miner、Supply-chain attack、Law Enforcement、Malware Statistics、Internet of Things、Trojan、Vulnerabilities、Spyware、Antivirus Technologies、Ransomware、Non-Windows Malware、Apple macOS

2026 Q3 全球平均：4.34% 的用户计算机遭遇至少一次 Web 恶意攻击，10.88% 至少检出一次本地恶意威胁

KEY FIGURES

SOURCE / 原文信息

Securelist

原文标题

IT threat evolution in Q3 2026. Non-mobile statistics

页面标题

Desktop and IoT threat statistics for Q3 2026

作者

AMR（Securelist 署名作者）

发布

2026 年 11 月 10 日 · 分类：Malware reports

来源

https://securelist.com/malware-report-q3-2026-pc-iot-statistics/121843/

说明

图表版权归卡巴斯基所有，原文每张图表均提供高清原图下载。

拆解一份值得细读的安全报告，把厂商的说辞和真正的技术细节分开来看。

如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见。

赞

在看

收藏

THANKS FOR READING

更多 山东区域  卡巴斯基 威胁情报 详情，请联系：

高进 - 186 6376 1060