搜索

[2857] 2016-06-03_Stuxnet震网病毒的高仿版IRONGATE——专攻西门子ICSSCADA

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-16
2016-06-03_Stuxnet震网病毒的高仿版IRONGATE——专攻西门子ICSSCADA S t u x n e t 震 网 病 毒 的 高 仿 版 I R O N G A T E — — 专 攻 西 门 子 I C S / S C A D A 原 创   E 安 全   E 安 全   2 0 1 6 - 0 6 - 0 3 声 名 狼 藉 的 声 名 狼 藉 的 S t u x n e t 蠕 虫 恶 意 软 件 数 年 前 摧 毁 多 个 伊 朗 核 电 站 的 离 心 机 ， 目 前 安 全 公 司 火 眼 （ 蠕 虫 恶 意 软 件 数 年 前 摧 毁 多 个 伊 朗 核 电 站 的 离 心 机 ， 目 前 安 全 公 司 火 眼 （ F i r e E y e ） 声 称 发 现 一 款 ） 声 称 发 现 一 款 恶 意 软 件 使 用 了 某 些 恶 意 软 件 使 用 了 某 些 S t u x n e t 功 能 ， 该 恶 意 软 件 将 目 标 对 准 （ 工 业 控 制 系 统 ） 功 能 ， 该 恶 意 软 件 将 目 标 对 准 （ 工 业 控 制 系 统 ） I C S / 数 据 采 集 与 监 视 控 制 系 统 数 据 采 集 与 监 视 控 制 系 统 （ （ S C A D A ） 。 ） 。 这 款 恶 意 软 件 名 为 “ 铁 门 铁 门 ” （ （ I R O N G A T E ） ） ， 只 针 对 西 门 子 公 司 生 产 的 I C S / S C A D A 设 备 。 F i r e E y e 火 眼 称 ， 他 们 于 2 0 1 5 年 下 半 年 发 现 该 恶 意 软 件 ， 但 2 0 1 4 年 9 月 当 多 个 字 符 实 体 在 V i r u s T o t a l 上 传 该 软 件 的 多 个 版 本 时 ， 他 们 就 成 功 追 踪 到 了 该 软 件 的 一 些 样 本 。 火 眼 表 示 ， 当 时 检 测 率 为 零 ， 并 且 这 款 恶 意 软 件 从 未 被 发 现 有 不 良 记 录 。 攻 击 链 以 检 查 虚 拟 化 环 境 的 散 播 病 毒 程 式 开 始 ， 研 究 人 员 利 用 这 种 环 境 分 析 恶 意 软 件 。 在 V M w a r e 和 C u c k o o   S a n d b o x 环 境 下 ， I R O N G A T E 散 播 病 毒 程 式 将 不 会 运 行 。 如 果 I R O N G A T E 没 有 发 现 虚 拟 化 的 环 境 ， 散 播 病 毒 程 式 可 执 行 e . N E T 可 执 行 文 件 “ s c a d a . e x e . ” 。 目 前 尚 不 清 楚 是 什 么 触 发 了 中 间 人 净 负 荷 安 装 恶 意 代 码 。 西 门 子 的 专 家 怀 疑 恶 意 净 负 荷 需 人 工 操 作 。 一 旦 系 统 被 感 染 ， I R O N G A T E 搜 索 所 有 后 缀 名 为 “ S t e p 7 P r o S i m . d l l ” 的 D L L 库 ， 并 用 可 以 操 作 关 联 过 程 的 恶 意 代 码 替 换 。 I R O N G A T E 的 主 要 特 点 是 ： 中 间 人 （ 中 间 人 （ M i t M ） 在 工 业 过 程 模 拟 内 攻 击 过 程 输 入 输 出 （ ） 在 工 业 过 程 模 拟 内 攻 击 过 程 输 入 输 出 （ I O ） 和 过 程 操 作 员 软 件 。 这 款 恶 ） 和 过 程 操 作 员 软 件 。 这 款 恶 意 软 件 用 恶 意 意 软 件 用 恶 意 D L L 替 换 正 常 的 替 换 正 常 的 D L L ， 然 后 恶 意 ， 然 后 恶 意 D L L 充 当 一 个 可 编 程 序 逻 辑 控 制 器 （ 充 当 一 个 可 编 程 序 逻 辑 控 制 器 （ P L C ） 与 合 法 监 控 系 统 之 间 的 经 ） 与 合 法 监 控 系 统 之 间 的 经 纪 人 。 该 恶 意 纪 人 。 该 恶 意 D L L 从 从 P L C 到 用 户 界 面 记 录 到 用 户 界 面 记 录 5 秒 的 秒 的 “ 正 常 正 常 ” 流 量 并 进 行 替 换 ， 同 时 将 不 同 的 数 据 发 回 流 量 并 进 行 替 换 ， 同 时 将 不 同 的 数 据 发 回 P L C 。 这 就 允 许 攻 击 。 这 就 允 许 攻 击 者 改 动 过 程 操 作 者 不 知 情 的 受 控 过 程 。 者 改 动 过 程 操 作 者 不 知 情 的 受 控 过 程 。
I R O N G A T E 与 与 S t u x n e t 共 享 某 些 功 能 共 享 某 些 功 能 研 究 小 组 发 现 这 款 恶 意 软 件 非 常 有 趣 ， 因 为 运 作 模 式 包 含 某 些 类 似 S t u x n e t 行 为 。 如 同 S t u x n e t ， I R O N G A T E 使 用 中 间 人 技 术 在 可 编 程 序 逻 辑 控 制 器 （ P L C ） 与 软 件 监 控 过 程 之 间 将 自 己 注 入 。 与 S t u x n e t 共 享 的 另 一 个 特 征 是 如 何 用 恶 意 拷 贝 替 换 有 效 D L L 文 件 ， 从 而 实 现 中 间 人 技 术 。 研 究 人 员 还 发 现 两 者 存 在 的 异 同 ： 两 款 恶 意 软 件 寻 找 单 一 、 具 有 较 高 特 异 性 的 过 程 。 均 替 换 D L L 实 现 过 程 操 作 。 I R O N G A T E 检 测 恶 意 软 件 “ 引 爆 ” / 观 察 环 境 ， 但 S t u x n e t 查 找 杀 毒 软 件 。 I R O N G A T E 积 极 记 录 并 回 放 过 程 数 据 隐 藏 操 作 ， 但 S t u x n e t 并 未 试 图 隐 藏 过 程 操 作 ， 但 会 暂 停 S 7 - 3 1 5 的 正 常 操 作 ， 因 此 即 使 H M I 上 显 示 了 转 子 速 度 ， 数 据 将 为 静 态 。 与 与 P L C   B l a s t e r 有 关 联 ？ 火 眼 表 示 没 有 任 何 关 联 有 关 联 ？ 火 眼 表 示 没 有 任 何 关 联 上 个 月 ， 德 国 研 究 团 队 揭 露 了 P L C   B l a s t e r - S C A D A 恶 意 软 件 家 族 一 款 可 以 自 我 复 制 类 似 蠕 虫 针 对 西 门 子 设 备 的 恶 意 软 件 。 P L C   B l a s t e r 有 两 组 单 独 的 研 究 人 员 ， 一 个 在 2 0 1 5 年 美 国 黑 帽 大 会 发 布 结 果 ， 另 一 个 参 加 2 0 1 6 亚 洲 黑 帽 大 会 。 两 组 均 符 合 I R O N G A T E 发 现 的 时 间 点 ， 但 是 P L C   B l a s t e r 缺 少 一 个 关 键 元 素 ， 那 就 是 沙 盒 （ s a n d b o x ） 回 避 功 能 。 尽 管 出 现 了 通 常 出 现 在 “ 进 攻 ” 恶 意 软 件 的 反 逆 向 工 程 构 件 ， 火 眼 仍 认 为 通 过 I R O N G A T E 的 特 点 可 以 得 结 论 ， 这 是 一 个 测 试 ， 概 念 验 证 或 研 究 活 动 。
火 眼 向 外 媒 透 露 ， 他 们 的 调 查 不 处 理 攻 击 过 程 ， 但 使 用 P L C 作 为 传 播 途 径 。 这 是 一 项 有 趣 的 研 究 ， 但 是 没 发 现 P L C   B l a s t e r 与 I R O N G A T E 之 间 的 关 联 。 举 个 例 子 ， K l i c k （ 出 席 2 0 1 5 美 国 黑 帽 大 会 的 研 究 员 作 者 ） 未 讨 论 沙 盒 回 避 ， 中 间 人 文 件 替 换 或 过 程 输 入 输 出 操 作 。 目 睹 某 人 将 两 个 不 同 分 支 的 思 想 融 合 为 一 个 恶 意 软 件 ， 着 实 有 趣 。 E 安 全 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 媒 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： w e i b o . c o m / E A Q a p p E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m 更 多 全 球 网 络 安 全 最 新 资 讯 ， 欢 迎 关 注 E 安 全 A P P 客 户 端 。
点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理