搜索

[4786] 2018-01-28_工控恶软TRITON搅局中东，与“震网”有何区别？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2018-01-28_工控恶软TRITON搅局中东，与“震网”有何区别？ 工 控 恶 软 T R I T O N 搅 局 中 东 ， 与 “ 震 网 ” 有 何 区 别 ？ 原 创   E 安 全   E 安 全   2 0 1 8 - 0 1 - 2 8 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m 2 0 1 7 年 下 半 年 ， 恶 意 软 件   T r i s i s （ 又 称 为 T R I T O N ） 利 用 了 施 耐 德   T r i c o n e x   安 全 仪 表 控 制 系 统 （ S I S ， S a f e t y   I n s t r u m e n t e d S y s t e m ） 零 日 漏 洞 对 中 东 一 家 石 油 天 然 气 工 厂 发 起 网 络 攻 击 ， 导 致 工 厂 停 运 对 中 东 一 家 石 油 天 然 气 工 厂 发 起 网 络 攻 击 ， 导 致 工 厂 停 运 。 安 全 研 究 人 员 表 示 ， 这 起 事 件 堪 称 “ 分 水 岭 ” ， 其 它 黑 客 可 能 会 复 制 这 种 模 式 实 施 攻 击 。 事 件 回 顾 事 件 回 顾 2 0 1 7 年 8 月 ， 沙 特 阿 拉 伯 一 家 是 石 油 天 然 气 工 厂 的 员 工 发 现 ， 工 厂 的 工 业 设 备 在 正 常 工 作 时 间 停 止 运 作 最 终 迫 使 整 个 工 厂 停 运 。 这 家 公 司 随 即 开 始 检 查 连 接 到 这 些 工 业 设 备 的 工 作 站 ， 直 到 技 术 人 员 发 现 一 个 奇 怪 的 文 件 “ t r i l o g . e x e . ” ， 该 文 件 看 似 来 自 施 耐 德 电 气 公 司 （ 施 耐 德 电 气 正 是 该 工 厂 的 技 术 供 应 商 ） 。 最 初 ， 技 术 人 员 认 为 这 可 能 是 软 件 问 题 ， 于 是 请 求 施 耐 德 予 以 协 助 。 同 一 时 间 ， 该 公 司 还 通 知 了 全 球 最 大 的 石 油 天 然 气 公 司 沙 特 阿 美 石 油 公 司 （ S a u d i   A r a m c o ） 。 尽 管 阿 美 公 司 不 负 责 这 家 工 厂 的 日 常 运 营 ， 但 与 这 家 工 厂 的 业 务 有 利 害 关 系 ， 并 于 2 0 1 7 年 8 月 底 指 派 工 程 师 团 队 检 查 电 脑 。 五 年 前 阿 美 公 司 曾 响 应 过   S h a m o o n 攻 击 ， 因 此 它 清 楚 有 必 要 彻 底 调 查 可 疑 文 件 。 不 久 之 后 ， 施 耐 德 电 气 和 阿 美 公 司 的 专 家 认 识 到 ， t r i l o g . e x e 远 比 表 面 看 到 的 要 复 杂 。 乍 一 看 ， 该 文 件 的 组 成 部 分 包 含 合 法 施 耐 德 电 气 软 件 的 元 素 ， 进 一 步 调 查 后 就 会 发 现 它 并 非 施 耐 德 的 软 件 ， 实 际 上   T r i l o g . e x e   与 附 带 的 文 件   L i b r a r y . z i p   携 带 着 具 有 毁 灭 功 能 的 恶 意 软 件 。
2 0 1 7 年 8 月 2 9 ， 阿 美 公 司 的 员 工 将 这 款 恶 意 软 件 的 代 码 上 传 到   V i r u s T o t a l   扫 描 ， 至 此 首 次 公 开 了   T r i s i s   恶 意 软 件 。 2 0 1 7 年 9 月 初 ， 这 家 受 害 公 司 请 求   F i r e E y e   旗 下   M a n d i a n t   部 门 协 助 调 查 。 F i r e E y e   曾 在 2 0 1 2 年 协 助 调 查   S h a m o o n   攻 击 ， 有 相 关 经 验 。 M a n d i a n t   经 过 调 查 后 发 现 一 款 更 危 险 的 网 络 武 器 ， 并 且 可 能 由 政 府 黑 客 开 发 。 最 初 的   T r i s i s   攻 击 实 际 上 以 失 败 告 终 ， 攻 击 者 犯 下 了 一 个 配 置 错 误 ， 导 致 这 家 工 厂 的 机 器 在 检 测 到 异 常 后 进 入 故 障 安 全 模 式 ， 自 动 关 闭 。 研 究 人 员 认 为 ， 攻 击 者 欲 使 用 T r i s i s 造 成 物 理 破 坏 。 机 器 进 入 故 障 安 全 模 式 可 能 避 免 了 一 场 灾 难 ， 因 为 它 限 制 了 这 款 恶 意 软 件 的 攻 击 潜 力 。 目 前 仍 不 清 楚 恶 意 软 件   T r i s i s   当 初 是 如 何 进 入 这 家 公 司 的 网 络 。 F i r e E y e   认 为 ， 最 初 的 感 染 途 径 可 能 是 网 络 钓 鱼 电 子 邮 件 或 武 器 化 U 盘 。 各 路 安 全 专 家 踏 上 解 谜 之 路 各 路 安 全 专 家 踏 上 解 谜 之 路 T r i s i s   浮 出 水 面 已 过 去 四 个 多 月 ， 网 络 安 全 分 析 师 仍 未 解 开   T r i s i s   幕 后 黑 手 的 身 份 之 谜 。 自 2 0 1 7 年 8 月 以 来 ， 沙 特 阿 拉 伯 公 共 部 门 和 私 营 部 门 的 研 究 人 员 一 直 在 研 究 T r i s i s 的 渗 透 者 。 T r i s i s   这 类 恶 意 软 件 专 门 设 计 用 来 破 坏 工 控 系 统 （ I C S ） ， 操 纵   I C S   可 能 造 成 破 坏 性 影 响 。 如 今 ， 这 起 事 件 的 规 模 及 影 响 日 益 凸 显 。 多 名 政 府 官 员 和 研 究 团 队 将 这 款 恶 意 软 件 称 之 为 “ 下 一 代 网 络 武 器 ” ， 它 属 于 一 种 相 当 危 险 的 工 具 ， 它 的 存 在 加 剧 了 全 球 数 字 军 备 竞 赛 。 2 0 1 7 年 9 月 至 1 2 月 的 线 索 表 明 ， 一 起 出 现 配 置 错 误 的 复 杂 网 络 攻 击 会 导 致 设 备 关 闭 。 目 前 可 以 确 定 的 是 ， T r i s i s   是 一 个 多 阶 段 恶 意 软 件 框 架 ， 它 与 安 全 研 究 界 之 前 所 了 解 的 恶 意 软 件 不 同 。 T r i s i s   被 认 为 是 第 5 个 专 门 针 对   I C S   恶 意 软 件 变 种 ， 其 它 此 类 恶 意 软 件 包 括   C r a s h O v e r r i d e （ 2 0 1 6 年 攻 击 乌 克 兰 变 电 站 ） 和 最 臭 名 昭 著 的 震 网 病 毒   S t u x n e t （ 2 0 1 0 年 破 坏 伊 朗 核 电 站 ） 。 美 国 网 络 安 全 公 司 D r a g o s   威 胁 情 报 总 监 塞 尔 吉 奥 · 卡 尔 塔 吉 龙 表 示 ， T r i s i s 的 影 响 不 难 理 解 。 它 是 首 款 能 远 程 让 民 用 基 础 设 它 是 首 款 能 远 程 让 民 用 基 础 设 施 进 入 不 安 全 状 态 的 恶 意 软 件 ， 可 能 引 起 工 厂 关 闭 或 者 使 人 受 伤 。 施 进 入 不 安 全 状 态 的 恶 意 软 件 ， 可 能 引 起 工 厂 关 闭 或 者 使 人 受 伤 。 这 起 事 件 再 次 说 明 研 究 人 员 面 临 取 证 困 难 ， 但 同 时 也 凸 显 出 调 查 的 复 杂 性 和 冲 突 。
T r i s i s 与 与 S t u x n e t 有 什 么 区 别 ？ 有 什 么 区 别 ？ 专 家 指 出 ， T r i s i s   能 使 施 耐 德 的   T r i c o n e x   安 全 仪 表 系 统 （ S I S ） 发 生 故 障 。 T r i c o n e x   S I S   是 一 款 逻 辑 控 制 器 ， 主 要 用 来 管 理 核 电 厂 、 石 油 天 然 气 生 产 工 厂 和 造 纸 厂 的 物 理 设 备 。 一 位 调 查 知 情 人 士 描 述 了 遭 遇   T r i s i s   感 染 的   S I S   系 统 的 运 作 情 况 ： 这 些 控 制 器 的 基 本 工 作 职 能 是 . . . 比 如 涡 轮 机 的 转 速 应 当 保 持 在 每 分 钟 5 0 0 转 左 右 ， 这 类 控 制 器 类 似 于 安 全 功 能 ， 在 涡 轮 机 达 到 一 定 转 速 限 度 时 对 其 进 行 减 速 ， 当 涡 轮 机 的 转 速 达 到 每 分 钟 7 0 0 转 或 8 0 0 转 ， 控 制 器 将 会 发 挥 作 用 。 T r i s i s   可 远 程 关 闭 系 统 ， 亦 或 者 工 作 人 员 可 能 会 修 改 转 速 限 制 ， 其 结 果 是 设 备 可 能 会 变 得 不 稳 定 ， 最 终 被 破 坏 。 如 果 设 备 遭 到 破 坏 ， 很 可 能 会 使 人 丧 命 。 T r i s i s   的 工 作 方 式 与   S t u x n e t   类 似 。 据 悉 ， 美 国 间 谍 使 用   S t u x n e t   影 响 了 核 离 心 机 的 速 度 ， 最 终 破 坏 核 设 施 。 一 些 历 史 学 家 认 为 ， S t u x n e t   行 动 在 一 段 时 间 内 使 伊 朗 核 武 器 发 展 倒 退 数 年 。 首 款 专 门 针 对 安 全 仪 表 系 统 的 恶 意 软 件 首 款 专 门 针 对 安 全 仪 表 系 统 的 恶 意 软 件 与   S t u x n e t   一 样 ， T r i s i s   有 能 力 操 纵 旋 转 组 件 的 转 速 。 网 络 安 全 公 司 表 示 ， 与 国 家 有 关 联 的 黑 客 组 织 过 去 曾 尝 试 使 用 各 类 针 对 I C S 的 恶 意 软 件 。 包 括   S t u x n e t 、 H a v e x 、 B l a c k e n e r g y 2 、 C r a s h o v e r r i d e 。 H a v e x 也 曾 被 用 来 入 侵 I C S 制 造 商 的 网 站 ， 在 合 法 软 件 下 载 中 布 下 陷 阱 ； 2 0 1 5 年 1 2 月 ， B l a c k e n e r g y 2 被 用 来 攻 击 乌 克 兰 电 网 ；
2 0 1 6 年 1 2 月 ， C r a s h o v e r r i d e 被 用 来 攻 击 乌 克 兰 多 个 发 电 厂 。 D r a g o s   的 首 席 执 行 官 兼 创 始 人 罗 伯 特 · 李 表 示 ， 只 有 三 款 恶 意 软 件 对 工 业 环 境 造 成 破 坏 ， 只 有 两 款 恶 意 软 件 一 直 将 目 标 瞄 向 民 用 工 业 基 础 设 施 。 而   T r i s i s   属 于 另 一 类 I C S 恶 意 软 件 。 T r i s i s   是 首 款 专 门 针 对 安 全 仪 表 系 统 的 恶 意 软 件 。 C r a s h O v e r r i d e   针 对 的 是 电 网 ， 而 T r i s i s 针 对 的 是 旨 在 保 护 人 身 安 全 的 系 统 ， 这 将 是 工 程 界 的 “ 分 水 岭 ” 。 T r i s i s 难 倒 安 全 界 难 倒 安 全 界 M a n d i a n t   参 与 调 查 之 时 ， D r a g o s   在 发 现   t r i l o g . e x e .   后 也 开 始 挖 掘 。 此 后 ， D r a g o s   联 系 了 美 国 国 土 安 全 部 （ D H S ） ， 告 知 其 这 款 恶 意 软 件 具 备 危 险 的 功 能 。 除 了   D r a g o s ， 施 耐 德 也 联 系 了   D H S ， 并 提 供 了 了 相 关 信 息 。 经 D H S 一 名 发 言 人 证 实 ， D H S   获 取 了   T r i s i s   样 本 ， 但 拒 绝 透 露 获 取 样 本 的 途 径 及 时 间 。 美 国 官 员 希 望 了 解 相 关 信 息 ， 美 国 数 千 家 工 业 工 厂 部 署 了   T r i c o n e x   S I S   产 品 ， 他 们 担 心   T r i s i s   可 能 会 潜 在 影 响 美 国 的 关 键 基 础 设 施 。 F i r e E y e   2 0 1 7 年 1 1 月 底 向 D H S 提 供 了   T r i s i s   细 节 ， 此 后 于 1 2 月 1 4 日 发 布 博 文 详 述   T r i s i s   恶 意 软 件 。 D r a g o s   也 在 同 一 天 发 布 研 究 报 告 。 2 0 1 7 年 1 2 月 1 8 日 ， 美 国 国 家 网 络 安 全 和 通 信 整 合 中 心 （ N C C I C ） 也 发 布 了   T r i s i s   恶 意 软 件 分 析 报 告 。 美 国 方 面 的 调 查 尚 无 结 果 美 国 方 面 的 调 查 尚 无 结 果 查 看 T r i s i s 样 本 的 消 息 人 士 透 露 ， T r i s i s   非 常 难 分 析 ， 其 完 整 的 文 件 库 通 过 五 种 不 同 的 编 程 语 言 构 建 ， 仅 能 在 其 瞄 准 的 同 款 工 业 设 备 上 测 试 才 能 完 全 了 解 这 款 恶 意 软 件 。 消 息 人 士 透 露 ， T r i s i s   甚 至 难 倒 了 美 国 国 家 安 全 局 （ N S A ） 的 分 析 师 。 美 国 国 家 情 报 总 监 办 公 室 和   N S A   拒 绝 对 此 发 表 评 论 。 李 表 示 ， 目 前 为 止 发 布 的 所 有 报 告 均 是 基 于 这 款 恶 意 软 件 做 出 的 分 析 ， 要 更 深 入 挖 掘 ， 还 需 购 买   T r i c o n e x   系 统 进 行 测 试 。 消 息 人 士 预 测 ， 一 支 专 业 的 恶 意 软 件 开 发 团 队 也 需 要 花 上 一 年 时 间 才 能 开 发 出 与   T r i s i s   相 匹 敌 的 恶 意 软 件 。 T r i s i s   的 设 计 相 当 复 杂 ， 价 值 可 达 数 百 万 美 元 。 真 正 看 过   T r i s i s   代 码 的 人 就 会 知 道 需 要 投 入 大 量 研 究 和 测 试 工 作 。
T r i s i s   代 码 中 隐 藏 的 技 术 指 示 器 显 示 ， 这 款 恶 意 软 件 的 开 发 时 间 至 少 可 追 溯 至 2 0 1 6 年 6 月 。 F i r e E y e   和   D r a g o s   仍 在 继 续 分 析 这 款 恶 意 软 件 。 此 外 ， 据 消 息 人 士 透 露 ， D H S   和   N S A   也 在 继 续 研 究   T r i s i s 。 幕 后 黑 手 仍 是 谜 团 幕 后 黑 手 仍 是 谜 团 虽 然   F i r e E y e   和   D r a g o s   均 认 为   T r i s i s   出 自 国 家 支 持 型 黑 客 之 手 ， 但 进 一 步 分 析 并 未 发 现 确 凿 的 证 据 。 T r i s i s   内 各 种 不 同 的 编 码 指 示 器 从 未 出 现 过 ， 任 何 已 知 的 黑 客 组 织 也 未 使 用 过 这 些 编 码 指 示 器 ， 分 析 师 毫 无 头 绪 。 2 0 1 7 年 1 1 月 ， 熟 悉 这 起 攻 击 事 件 的 美 国 政 府 、 承 包 商 及 情 报 官 员 一 直 在 讨 论 T r i s i s   的 幕 后 黑 手 是 否 是 国 家 或 由 某 个 国 家 开 发 之 后 交 给 另 一 国 政 府 。 据 他 们 推 测 ， T r i s i s   是 俄 罗 斯 和 伊 朗 合 作 的 成 果 ， 但 却 缺 乏 证 据 支 撑 这 样 的 推 断 。 美 国 政 府 目 前 的 归 因 能 力 还 有 很 大 的 提 升 空 间 ， 这 一 点 在   T r i s i s   案 例 中 体 现 得 更 为 明 显 。 每 个 人 都 致 力 于 找 到 答 案 ， 但 却 无 人 有 能 力 给 出 答 案 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 9 4 2 1 2 3 0 0 0 . s h t m l 推 荐 阅 读 ： P a n e l S h o c k “ 零 日 漏 洞 ” 影 响 施 耐 德 H M I 人 机 面 板 系 列 产 品 【 含 P O C 演 示 】 德 勤 报 告 ： 石 油 与 天 然 气 企 业 网 络 安 全 防 御 准 备 不 充 分 工 控 安 全 亟 待 重 视 ， 如 何 改 进 工 控 系 统 修 复 过 程 ？ 揭 秘 " 震 网 " 行 动 ， 虚 拟 空 间 破 坏 现 实 世 界 的 艺 术 结 合 | 《 E 视 界 》 F i r e E y e 发 布 密 码 破 解 管 理 工 具 “ G o C r a c k ” 工 业 4 . 0 时 代 的 安 全 如 何 把 握 ？ D H S 正 在 测 试 ： 生 化 实 验 室 网 安 防 御 技 术 S y m b i o t e
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理