勒索软件是劫持数据以索求赎金的一类恶意软件，面世已颇有些年头。第一起勒索软件攻击发生在1991年，当时一位生物学家通过平邮将载有首个勒索软件PC Cyborg的软盘寄给其他研究艾滋病的科学家。新千年第一个十年中期，采用加密技术的首款勒索软件Archiveus出现，其密码至今仍可在维基百科页面上找到——尽管此勒索软件早已被安全社区击溃。10年代初，“警方”系勒索软件包浮出水面；此类勒索软件因假冒司法机构发出的违法警告并索取“罚款”而得名，开始利用新一代匿名支付服务避开监管渔利。

21世纪第二个十年里，一种新的勒索软件趋势浮现：网络罪犯首选加密货币作为赎金支付方式。加密货币本就专为不可追踪的匿名支付而设计，对勒索者的吸引力显而易见。比特币是最为著名的加密货币，绝大多数勒索软件攻击者都要求以比特币支付赎金。不过，比特币的广为流传也使其价值波动性增大，有些攻击者已开始转向其他的加密货币。

10年代中期，勒索软件攻击飙升到了危机的程度。但到了2018年，勒索软件热潮似乎开始消退，另一种非法攫取比特币的方式逐渐冒头：加密货币劫持。这种方法甚至无需受害者知晓比特币钱包是什么，就能利用受害者电脑挖掘比特币。利用垃圾邮件分发者和DDoS攻击者沿用多年的脚本模式，这些加密货币劫持者能在用户毫不知情的情况下偷偷获取计算机系统的控制权。受害用户电脑被黑后即变身比特币挖矿机，在后台默默生产加密货币，吃掉空闲计算周期，悄悄耗费受害者大量计算资源与电力。2018年里，勒索软件攻击逐渐下降，而加密货币劫持攻击则激增450%。

过去两年来，由于加密币市场的巨幅波动，原本醉心于挖矿的勒索软件调转枪口卷土重来，其攻击技术和危害性也有极大提升，以下是新时期安全业界最为头疼的勒索软件五大家族。

尽管安全研究人员最初认为SamSam源自东欧，但绝大部分SamSam攻击却针对美国境内的组织机构。2018年末，美国司法部判定两名伊朗人是攻击的背后主使；起诉书宣称这些攻击造成了超过3,000万美元的损失。目前尚不清楚这一数字是否真实反映出已支付的赎金数额；亚特兰大市官方曾在当地媒体上发布过附带攻击者联系信息的勒索信截屏，正是该信息导致了此通信门户的关闭，可能阻止了亚特兰大支付此笔赎金（想付也付不了了）。

安全分析师认为，Ryuk源代码很大程度上出自朝鲜Lazarus黑客团伙的Hermes恶意软件。但这并不表明Ryuk攻击本身是朝鲜发起的，迈克菲认为其代码基础由俄语区供应商提供，因为该勒索软件不会在系统语言设置为俄语、白俄罗斯语和乌克兰语的计算机上执行。至于该俄罗斯供应源如何从朝鲜获得的代码，我们就不得而知了。

尽管并未披露PureLocker感染范围，但IBM和Intezer揭示出企业生产服务器这类明显高价值目标是遭受攻击最严重的。由于此类攻击需要较高水准的人工控制，Intezer安全研究员Michael Kajiloti认为PureLocker是能承受高额前期投入的犯罪组织才能入手的勒索软件即服务产品。

Zeppelin开始崭露头角是在2019年11月，作为区别于Vega的明证，其目标似乎是仔细挑选的。受害者大多数属于北美和欧洲的医疗保健和技术行业，有些勒索信就是特别针对受感染目标机构写就的。安全专家认为，Zeppelin在行为上偏离Vega是因为其代码库可能转手给了更具野心的俄罗斯黑客；尽管感染数量没Vega那么高，但部分专家觉得目前观测到的情况有可能是更大攻击潮的概念验证。

Sodinokibi的传播再次凸显出其背后命令与控制团队将之作为勒索软件即服务产品的野心。该勒索软件在2019年9月造成德克萨斯州22个以上的市镇宕机，但其真正臭名昭著是在新年夜搞崩英国货币兑换服务Travelex之时，此次袭击导致机场陷入纸笔运营，令无数客户茫然无措。攻击者要求高达600万美元的赎金，不过受害公司既没证实也没否认是否支付了赎金。

在Juniper Networks威胁实验室负责人Mounir Hahad眼中，2019最严重勒索软件攻击是Sodinokibi，因为该勒索软件的控制者在攻击中引入了额外的变化。最特别的一点就是，这伙黑客不仅告诉人们“不付赎金就拿不回数据”，还会威胁称“将在网上公开或在地下论坛竞拍这些机密数据”。这种新的勒索方式将此商业模式推升到了新的高度，与传统勒索模式大为不同——毕竟，这种方法无需费劲渗漏即可锁定受害者数据，但又切切实实地威胁到了受害者。高针对性、强定制化的勒索软件新时代似乎正走向危险新深渊。