搜索

[3166] 2016-09-19_2016欧洲黑帽大会将公布无法被检测到的PLCRootkit

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-16
2016-09-19_2016欧洲黑帽大会将公布无法被检测到的PLCRootkit 2 0 1 6 欧 洲 黑 帽 大 会 将 公 布 无 法 被 检 测 到 的 P L C   R o o t k i t 原 创   E 安 全   E 安 全   2 0 1 6 - 0 9 - 1 9 E 安 全 9 月 1 9 日 讯   两 位 安 全 研 究 人 员 已 经 开 发 出 一 套 无 法 被 检 测 到 的 P L C   R o o t k i t ， 且 计 划 在 即 将 召 开 的 2 0 1 6 欧 洲 黑 帽 大 会 上 公 布 。 作 为 持 续 性 攻 击 、 网 络 罪 犯 以 及 国 家 支 持 型 入 侵 活 动 的 重 要 指 向 目 标 ， 能 源 行 业 长 久 以 来 一 直 成 为 网 络 安 全 领 域 的 软 肋 所 在 。 当 年 出 现 的 S t u x n e t — — 即 震 网 病 毒 ， 就 已 经 让 I T 行 业 意 识 到 网 络 攻 击 的 危 险 后 果 。 事 实 上 ， 威 胁 组 织 者 们 完 全 有 能 力 将 恶 意 代 码 传 播 至 关 键 性 基 础 设 施 的 内 部 运 作 流 程 当 中 。 而 在 即 将 召 开 的 欧 洲 黑 帽 大 会 之 上 ， 又 一 种 新 型 攻 击 手 段 将 闪 亮 登 场 ， 其 能 够 悄 无 声 息 地 侵 入 工 业 网 络 流 程 。 荷 兰 特 温 特 大 学 分 布 式 与 嵌 入 式 系 统 安 全 博 士 生 A l i   A b b a s i 与 独 立 安 全 研 究 员 M a j i d   H a s h e m i 已 经 开 发 出 一 款 无 法 被 检 测 到 的 P L C   R o o t k i t 。 两 位 安 全 专 家 将 出 席 计 划 于 1 1 月 于 英 国 伦 敦 召 开 的 欧 洲 黑 帽 大 会 本 文 源 自 E 安 全 ， 并 在 其 间 展 示 这 款 惊 人 的 P L C   R o o t k i t 。 两 名 安 全 研 究 人 员 还 将 展 示 一 款 可 利 用 s h e l l c o d e 发 起 P L C 攻 击 的 可 用 版 本 。 他 们 的 演 讲 题 目 为 《 P L C 中 的 幽 灵 ： 设 计 一 款 无 法 被 检 测 到 的 可 编 程 逻 辑 控 制 器 R o o t k i t 》 。 两 名 研 究 人 员 指 出 ， 其 P L C   R o o t k i t 可 能 比 S t u x n e t 更 加 危 险 ， 因 为 其 能 够 悄 然 潜 入 并 直 接 感 染 P L C — — 相 比 之 下 ， S t u x n e t 的 设 计 目 标 则 在 于 指
向 运 行 在 W i n d o w s 架 构 之 上 的 S C A D A 系 统 。 之 所 以 更 难 被 发 现 ， 是 因 为 此 次 公 布 的 P L C   R o o t k i t 立 足 于 更 低 系 统 层 级 。 这 套 P L C   R o o t k i t 旨 在 入 侵 P L C 系 统 中 的 底 层 组 件 ， 大 家 可 以 将 其 视 为 一 种 跨 平 台 P L C 威 胁 — — 因 为 其 能 够 对 来 自 任 意 供 应 商 的 P L C 设 备 实 施 入 侵 。 “ 这 是 一 场 激 烈 的 竞 逐 ， ” A b b a s i 在 接 受 采 访 时 指 出 。 “ 每 个 人 都 希 望 访 问 更 高 层 级 的 S C A D A 运 营 组 件 。 未 来 ， 攻 击 者 将 把 目 标 指 向 更 为 底 层 的 攻 击 对 象 ” 从 而 逃 避 检 测 ， 他 解 释 称 。 直 接 对 P L C 系 统 进 行 入 侵 对 于 攻 击 者 而 言 更 为 轻 松 ， 因 为 此 类 设 备 一 般 不 具 备 强 大 的 检 测 机 制 ， 这 意 味 着 运 行 有 实 时 操 作 系 统 的 P L C 更 易 受 到 网 络 攻 击 的 影 响 。 今 年 8 月 ， 另 一 研 究 团 队 在 美 国 黑 帽 大 会 上 公 布 了 一 款 P L C 蠕 虫 病 毒 ， 其 能 够 在 各 P L C 设 备 之 间 往 来 传 播 。 这 一 病 毒 被 定 名 为 P L C - B l a s t e r 。 A b b a s i 与 H a s e m i 解 释 称 ， 他 们 的 P L C   R o o t k i t 并 不 像 其 它 同 类 威 胁 那 样 将 目 标 指 向 P L C 逻 辑 代 码 ， 因 此 更 难 被 检 测 及 发 现 。 此 外 ， 两 名 研 究 人 员 解 释 称 ， 该 P L C   R o o t k i t 的 活 动 将 不 会 被 负 责 监 控 P L C 能 耗 水 平 的 方 案 所 发 觉 。 “ 我 们 的 攻 击 游 离 于 内 核 之 外 ， 且 运 行 负 荷 低 于 1 % 本 文 源 自 E 安 全 ， 这 意 味 着 即 使 相 关 方 案 能 够 监 控 P L C 的 功 耗 情 况 ， 仍 然 无 法 借 此 发 现 我 们 的 攻 击 手 段 ， ” A b b a s i 解 释 道 。 该 恶 意 软 件 会 干 扰 P L C 运 行 时 与 逻 辑 同 I / O 外 设 间 的 连 接 。 该 恶 意 软 件 驻 留 在 工 业 组 件 的 动 态 内 存 当 中 ， 且 操 纵 相 关 I / O 及 P L C 流 程 ， 同 时 影 响 P L C 进 行 通 信 交 互 用 以 处 理 流 程 物 理 控 制 的 输 出 I / O 数 据 块 。 P L C 会 从 输 入 P I N 的 字 段 当 中 接 收 信 号 （ 即 管 道 中 的 液 面 高 度 ） ， 同 时 利 用 P L C 输 出 P I N 依 据 接 收 到 的 指 令 进 行 执 行 器 控 制 （ 即 阀 门 控 制 ） 。 很 明 显 ， 篡 改 I / O 信 号 意 味 着 攻 击 者 有 能 力 悄 无 声 息 地 对 工 业 流 程 加 以 干 涉 ， 而 这 也 正 是 此 P L C   R o o t k i t 的 目 的 所 在 。 “ 我 们 的 攻 击 指 向 I / O 外 设 与 P L C 运 行 时 及 逻 辑 间 的 交 互 。 在 我 们 的 攻 击 方 案 当 中 ， P L C 逻 辑 与 P L C 运 行 时 并 不 会 受 到 影 响 ， ” A b b a s i 表 示 。 “ 在 P L C 当 中 ， I / O 操 作 正 是 最 为 重 要 的 任 务 之 一 。 ” 正 如 两 位 研 究 人 员 所 言 ， 此 类 攻 击 对 于 缺 乏 硬 件 中 断 机 制 的 P L C 系 统 芯 片 确 实 具 备 可 行 性 ， 且 无 法 被 P i n 控 制 子 系 统 中 的 硬 件 层 级 P i n 配 置 所 检 测 到 。 A b b a s i 与 H a s h e m i 目 前 正 在 研 究 相 关 防 御 对 策 ， 旨 在 检 测 并 保 护 P L C 免 受 此 类 威 胁 的 影 响 。 E 安 全 注 ： 本 文 系 E 安 全 编 辑 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理