搜索

[15335] 2020-05-05_从乌克兰电网事件看工控安全态势

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-05-05_从乌克兰电网事件看工控安全态势 从 乌 克 兰 电 网 事 件 看 工 控 安 全 态 势 e l v a d i s a s   F r e e B u f   2 0 2 0 - 0 5 - 0 5 一 、 背 景 介 绍 一 、 背 景 介 绍 目 前 ， 工 控 系 统 作 为 国 家 重 点 信 息 基 础 设 施 的 重 要 组 成 部 分 ， 正 在 成 为 全 世 界 最 新 的 地 缘 政 治 角 逐 战 场 。 诸 如 目 前 ， 工 控 系 统 作 为 国 家 重 点 信 息 基 础 设 施 的 重 要 组 成 部 分 ， 正 在 成 为 全 世 界 最 新 的 地 缘 政 治 角 逐 战 场 。 诸 如 能 源 、 电 力 、 核 等 在 内 的 关 键 网 络 成 为 全 球 攻 击 者 的 首 选 目 标 ， 极 具 价 值 。 简 要 回 顾 工 控 系 统 安 全 史 上 的 几 起 能 源 、 电 力 、 核 等 在 内 的 关 键 网 络 成 为 全 球 攻 击 者 的 首 选 目 标 ， 极 具 价 值 。 简 要 回 顾 工 控 系 统 安 全 史 上 的 几 起 非 常 典 型 的 、 影 响 巨 大 的 攻 击 事 件 ， 如 图 非 常 典 型 的 、 影 响 巨 大 的 攻 击 事 件 ， 如 图 1 所 示 。 所 示 。 图 1 ： 工 控 安 全 事 件 回 顾 据 统 计 ， 在 刚 刚 过 去 的 2 0 1 9 年 全 球 各 地 工 控 安 全 问 题 事 件 数 量 逐 步 上 升 ， 报 告 数 量 达 到 3 2 9 件 ， 涉 及 包 括 制 造 、 能 源 、 通 信 、 核 工 业 等 超 过 1 5 个 行 业 。 可 参 考 链 接 ： h t t p : / / w w w . a n k k i . c o m / A b o u t N e w s D e t a i l _ 8 4 _ 4 5 9 1 . h t m l 面 对 日 益 严 峻 的 工 控 安 全 问 题 ， 亟 需 从 人 员 意 识 、 技 战 术 等 多 方 面 加 深 认 识 。 下 面 我 们 从 一 个 经 典 案 例 说 起 。 二 、 经 典 案 例 复 盘 二 、 经 典 案 例 复 盘 — - 2 0 1 5 年 乌 克 兰 断 电 年 乌 克 兰 断 电 在 工 控 安 全 事 件 频 发 的 今 天 ， 复 盘 经 典 案 例 有 着 以 史 为 鉴 的 重 大 意 义 。 （ 一 ） 乌 克 兰 断 电 事 件 简 介 （ 一 ） 乌 克 兰 断 电 事 件 简 介 2 0 1 5 年 1 2 月 2 3 日 ， 当 时 乌 克 兰 首 都 基 辅 部 分 地 区 和 乌 克 兰 西 部 的   1 4 0   万 名 居 民 遭 遇 了 一 次 长 达 数 小 时 的 大 规 模 停 电 ， 至 少 三 个 电 力 区 域 被 攻 击 ， 占 据 全 国 一 半 地 区 。 攻 击 背 景 是 在 克 里 米 亚 公 投 并 加 入 俄 罗 斯 联 邦 之 后 ， 因 乌 克 兰 与 俄 罗 斯 矛 盾 加 剧 ， 在 网 络 攻 击 发 生 前 一 个 月 左 右 ， 乌 克 兰 将 克 里 米 亚 地 区 进 行 了 断 电 。 一 个 月 后 ， 乌 克 兰 的 K y i v o b l e n e r g o 电 力 公 司 表 示 他 们 公 司 遭 到 木 马 B l a c k E n e r g y 网 络 入 侵 ， 因 此 导 致 7 个 1 1 0 K V 的 变 电 站 和 2 3 个 3 5 K V 的 变 电 站 出 现 故 障 ， 从 而 导 致 断 电 。 （ 二 ） 攻 击 采 用 的 技 战 术 （ 二 ） 攻 击 采 用 的 技 战 术 本 起 著 名 的 网 络 攻 击 采 用 鱼 叉 式 钓 鱼 邮 件 手 段 ， 首 先 向 “ 跳 板 机 ” 如 电 力 公 司 员 工 的 办 公 系 统 ， 植 入 B l a c k E n e r g y 3 ， 以 “ 跳 板 机 ” 作 为 据 点 进 行 横 向 渗 透 ， 之 后 通 过 攻 陷 监 控 / 装 置 区 的 关 键 主 机 。 同 时 攻 击 者 在 获 得 了 S C A D A 系 统 的 控 制
能 力 后 ， B l a c k E n e r g y 3 继 续 下 载 恶 意 组 件 ( K i l l D i s k ) ， 通 过 相 关 方 法 下 达 断 电 指 令 导 致 断 电 ： 其 后 ， 采 用 覆 盖 M B R 和 部 分 扇 区 的 方 式 ， 导 致 系 统 重 启 后 不 能 自 举 ； 采 用 清 除 系 统 日 志 的 方 式 提 升 事 件 后 续 分 析 难 度 ； 采 用 覆 盖 文 档 文 件 和 其 他 重 要 格 式 文 件 的 方 式 ， 导 致 实 质 性 的 数 据 损 失 。 这 一 组 合 拳 不 仅 使 系 统 难 以 恢 复 ， 而 且 在 失 去 S C A D A 的 上 层 故 障 回 馈 和 显 示 能 力 后 ， 工 作 人 员 被 “ 致 盲 ” ， 从 而 不 能 有 效 推 动 恢 复 工 作 。 攻 击 者 在 线 上 变 电 站 进 行 攻 击 的 同 时 ， 在 线 下 还 对 电 力 客 服 中 心 进 行 电 话 D D o S 攻 击 ， 最 终 完 成 攻 击 者 的 目 的 。 如 图 2 所 示 ： 图 2 ： 攻 击 流 程 （ 来 源 于 参 考 1 ） （ 三 ） 攻 击 载 体 主 要 组 成 （ 三 ） 攻 击 载 体 主 要 组 成 1 、 漏 洞 —   C V E - 2 0 1 4 - 4 1 1 4 该 漏 洞 影 响 范 围 ： m i c r o s o f t   o f f i c e   2 0 0 7   系 列 组 件 ， 漏 洞 影 响 w i n d o w s   V i s t a   S P 2 到 W i n 8 . 1 的 所 有 系 统 ， 也 影 响 w i n d o w s S e r v e r   2 0 0 8 ～ 2 0 1 2 版 本 。 X P 不 会 受 此 漏 洞 影 响 。 漏 洞 补 丁 ： 漏 洞 于 2 0 1 4 年 的 1 0 月 1 5 日 被 微 软 修 补 。 漏 洞 描 述 ： 该 漏 洞 是 一 个 逻 辑 漏 洞 ， 漏 洞 触 发 的 核 心 在 于 o f f i c e 系 列 组 件 加 载 O l e 对 象 ， O l e 对 象 可 以 通 过 远 程 下 载 ， 并 通 过 O l e   P a c k a g e 加 载 。 漏 洞 样 本 执 行 情 况 ： 将 漏 洞 样 本 投 递 到 目 标 机 上 后 ， 样 本 执 行 之 后 会 下 载 2 个 文 件 ， 一 个 为 i n f 文 件 ， 一 个 为 g i f （ 实 质 上 是 可 执 行 病 毒 文 件 ） ， 然 后 修 改 下 载 的 g i f 文 件 的 后 缀 名 为 e x e 加 入 到 开 机 启 动 项 ， 并 执 行 此 病 毒 文 件 ， 此 病 毒 文 件 就 是 木 马 病 毒 B l a c k E n e r g y 3 。 至 此 ， 漏 洞 完 成 了 “ 打 点 突 破 ” 的 任 务 。 2 、 木 马 病 毒 — B l a c k E n e r g y 3 在 乌 克 兰 断 电 事 件 中 ， 病 毒 采 用 了 B l a c k E n e r g y 的 变 种 B l a c k E n e r g y 3 。 该 组 件 是 D L L 库 文 件 ， 一 般 通 过 加 密 方 式 发 送 到 僵 尸 程 序 ， 一 旦 组 件 D L L 被 接 收 和 解 密 ， 将 被 置 于 分 配 的 内 存 中 。 然 后 等 待 相 应 的 命 令 。 例 如 ： 可 以 通 过 组 件 发 送 垃 圾 邮 件 、 窃 取 用 户 机 密 信 息 、 建 立 代 理 服 务 器 、 伺 机 发 动 D D o S 攻 击 等 。 关 键 组 件 介 绍 ： 1 ） D r o p b e a r   S S H 组 件 一 个 攻 击 者 篡 改 的 S S H 服 务 端 程 序 ， 攻 击 者 利 用 V B S 文 件 启 动 这 个 S S H 服 务 端 ， 开 启 6 7 8 9 端 口 等 待 连 接 ， 这 样 攻 击 者 可 以 在 内 网 中 连 接 到 受 害 主 机 。 2 ） K i l l D i s k 组 件 主 要 目 的 是 擦 除 证 据 ， 破 坏 系 统 。 样 本 运 行 后 遍 历 文 件 进 行 擦 除 操 作 ， 还 会 擦 写 磁 盘 M B R 、 破 坏 文 件 ， 最 后 强 制 关 闭
计 算 机 。 整 个 入 侵 后 的 状 态 如 图 3 所 示 ： 图 3 ： 入 侵 后 的 状 态 （ 来 源 于 参 考 2 ） 这 是 一 起 以 C V E - 2 0 1 4 - 4 1 1 4 漏 洞 及 木 马 病 毒 B l a c k E n e r g y 3 等 相 关 恶 意 代 码 为 主 要 攻 击 工 具 ， 通 过 前 期 的 资 料 采 集 和 环 境 预 置 ； 以 含 有 漏 洞 的 邮 件 为 载 体 发 送 给 目 标 ， 植 入 木 马 载 荷 实 现 打 点 突 破 ， 通 过 远 程 控 制 S C A D A 节 点 下 达 断 电 指 令 ， 摧 毁 破 坏 S C A D A 系 统 实 现 迟 滞 恢 复 和 状 态 致 盲 ； 以 D D o S 电 话 作 为 干 扰 ， 最 后 达 成 长 时 间 停 电 并 制 造 整 个 社 会 混 乱 的 具 有 信 息 战 水 准 的 网 络 攻 击 事 件 。 本 次 攻 击 的 突 破 点 并 没 有 选 择 电 力 设 施 的 纵 深 位 置 ， 也 未 使 用 0 d a y 漏 洞 ， 而 是 沿 用 了 传 统 的 攻 击 手 法 ， 从 电 力 公 司 员 工 主 机 突 破 ， 利 用 木 马 实 现 攻 击 链 的 构 建 ， 具 有 成 本 低 ， 打 击 直 接 、 有 效 的 特 点 。 三 、 安 全 思 考 三 、 安 全 思 考 通 过 对 乌 克 兰 断 电 事 件 的 复 盘 以 及 对 当 前 工 控 安 全 现 状 的 研 判 ， 工 控 系 统 网 络 安 全 现 状 也 实 在 令 人 忧 思 。 其 原 因 主 要 从 以 下 方 面 考 虑 ： 1 ） 工 控 系 统 环 境 中 大 量 使 用 遗 留 的 老 式 系 统 。 ） 工 控 系 统 环 境 中 大 量 使 用 遗 留 的 老 式 系 统 。 工 控 系 统 跟 国 家 经 济 、 政 治 、 民 生 、 命 运 紧 密 相 连 ， 但 是 大 都 存 在 年 久 失 修 、 不 打 补 丁 、 防 御 薄 弱 等 问 题 ， 有 的 甚 至 还 使 用 w i n d o w s   x p 系 统 。 一 旦 接 入 互 联 网 或 者 局 域 网 ， 就 可 能 成 为 一 攻 就 破 的 靶 子 ， 为 网 络 攻 击 和 病 毒 、 木 马 的 传 播 创 造 了 有 利 环 境 。 2 ） 工 控 系 统 设 计 时 未 考 量 安 全 因 素 。 ） 工 控 系 统 设 计 时 未 考 量 安 全 因 素 。 很 多 工 控 系 统 中 的 应 用 程 序 和 协 议 最 初 都 是 在 没 有 考 虑 认 证 和 加 密 机 制 及 网 络 攻 击 的 情 况 下 开 发 的 。 设 备 本 身 在 处 理 过 载 和 处 理 异 常 流 量 的 能 力 都 较 弱 ， 攻 击 者 通 过 D D O S 会 导 致 设 备 响 应 中 断 。 3 ） 工 控 领 域 正 成 为 各 国 博 弈 的 新 战 场 。 ） 工 控 领 域 正 成 为 各 国 博 弈 的 新 战 场 。 工 控 领 域 逐 渐 成 为 各 国 博 弈 的 新 战 场 ， 政 治 、 经 济 利 益 驱 动 下 使 得 工 控 安 全 呈 现 多 样 性 和 复 杂 性 ， 攻 防 能 力 失 衡 。 本 文 既 是 对 工 控 领 域 安 全 现 状 的 思 考 ， 也 是 对 攻 防 对 抗 技 战 法 的 复 盘 ； 既 是 学 习 ， 也 是 总 结 。 感 谢 全 球 安 全 研 究 员 为 安 全 事 业 做 出 的 不 懈 努 力 ， 共 勉 ！ 四 、 参 考 四 、 参 考 1 . h t t p : / / w w w . a n k k i . c o m / A b o u t N e w s D e t a i l _ 8 4 _ 4 5 9 1 . h t m l
2 . h t t p s : / / i c s . s a n s . o r g / m e d i a / E - I S A C _ S A N S _ U k r a i n e _ D U C _ 5 . p d f * 本 文 作 者 ： 本 文 作 者 ： e l v a d i s a s ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理