搜索

[2556] 2016-01-13_乌克兰电网遭遇协同攻击这一结论得到证实

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2016-01-13_乌克兰电网遭遇协同攻击这一结论得到证实 乌 克 兰 电 网 遭 遇 协 同 攻 击 这 一 结 论 得 到 证 实 E 安 全   2 0 1 6 - 0 1 - 1 3 经 过 受 影 响 电 力 企 业 、 研 究 人 员 以 及 媒 体 对 当 前 信 息 的 全 面 分 析 之 后 ， 目 前 可 以 肯 定 的 是 网 络 攻 击 正 是 导 致 此 次 乌 克 兰 供 电 中 断 事 故 的 罪 魁 祸 首 。 S A N S   I C S 团 队 一 直 在 协 调 与 之 相 关 的 讨 论 工 作 ， 并 将 结 论 共 享 给 多 个 国 际 性 社 区 成 员 及 企 业 。 根 据 各 企 业 声 明 、 媒 体 报 道 以 及 第 一 手 分 析 结 论 ， 目 前 我 们 已 经 有 充 分 的 信 心 宣 称 ， 此 次 事 故 是 由 一 次 目 的 明 确 的 协 作 性 攻 击 所 造 成 。 攻 击 在 此 次 行 动 中 展 示 了 其 规 划 能 力 、 协 作 能 力 、 恶 意 软 件 运 用 能 力 甚 至 是 以 远 程 方 式 直 接 蒙 蔽 系 统 调 度 人 员 的 能 力 ， 进 而 给 这 一 电 力 供 应 基 础 设 施 造 成 严 重 影 响 ， 甚 至 试 图 通 过 在 造 成 停 机 后 以 清 除 S C A D A 服 务 器 的 形 式 阻 碍 恢 复 工 作 的 进 行 。 目 前 看 来 ， 此 次 攻 击 共 包 含 三 大 组 成 部 分 ： 恶 意 软 件 、 指 向 电 话 系 统 的 拒 绝 服 务 机 制 以 及 在 最 终 造 成 停 机 后 的 证 据 清 理 机 制 。 目 前 的 证 据 与 分 析 工 作 表 明 ， 这 些 被 清 理 的 组 件 同 样 拥 有 明 确 的 目 标 ， 即 实 现 其 它 组 件 的 协 同 而 非 直 接 造 成 破 坏 。 换 句 话 来 说 ， 此 次 攻 击 通 过 恶 意 软 件 实 现 ， 但 却 至 少 包 含 有 三 个 独 立 环 节 。 多 元 素 攻 击 行 为 多 元 素 攻 击 行 为 其 次 网 络 攻 击 由 多 项 元 素 构 建 而 成 ， 其 中 包 括 面 向 系 统 调 度 人 员 的 查 看 拒 绝 机 制 ， 外 加 负 责 阻 止 报 告 停 电 事 故 的 阻 断 方 案 。 在 经 过 评 估 之 后 ， 我 们 对 自 己 的 结 论 已 经 极 具 信 心 ： 此 次 协 同 攻 击 共 针 对 了 位 于 多 个 区 域 的 多 家 供 电 企 业 。 根 据 媒 体 报 道 ， 受 到 影 响 的 企 业 包 括 K y i v o b l e n e r g o 以 及 P r y k a r p a t t y a o b l e n e r g o 等 等 。 目 前 并 不 清 楚 各 设 施 受 影 响 的 详 尽 时 间 线 以 及 先 后 顺 序 ， 这 部 分 内 容 仍 在 分 析 当 中 。 但 我 们 可 以 肯 定 的 是 ， K y i v o b l e n e r g o （ 如 下 图 所 示 ） 负 责 向 客 户 提 供 的 公 开 更 新 消 息 指 出 ， 其 曾 经 发 现 过 一 次 未 经 授 权 的 入 侵 活 动 （ 从 1 5 ： 3 0 到 1 6 ： 3 0 ） ， 其 共 造 成 七 座 1 1 0 千 伏 变 电 站 与 二 十 三 座 3 5 千 伏 变 电 站 停 机 ， 影 响 客 户 达 到 8 0 0 0 0 名 。
这 里 需 要 强 调 的 是 ， 这 8 0 0 0 0 名 客 户 中 有 相 当 一 部 分 属 于 普 通 居 民 。 全 部 客 户 的 电 力 供 应 直 到 当 天 1 8 ： 5 6 才 完 全 恢 复 。 他 们 还 报 告 了 多 项 技 术 故 障 ， 即 他 们 在 通 过 电 话 进 行 故 障 上 报 时 接 到 了 如 下 图 所 示 的 内 容 已 收 到 提 醒 。 各 相 关 工 作 人 员 迅 速 行 动 并 将 设 施 运 作 切 换 为 “ 手 动 模 式 ” ， 并 以 惊 人 的 速 度 对 系 统 者 了 恢 复 。 部 分 工 作 人 员 在 接 受 当 地 媒 体 采 访 时 指 出 ， 其 供 电 系 统 在 受 感 染 过 程 当 中 并 未 得 到 S C A D A 的 有 效 辅 助 。 受 影 响 电 力 企 业 的 现 场 工 作 人 员 则 忙 着 维 修 各 必 要 变 电 站 、 将 其 由 “ 自 动 模 式 切 换 为 手 动 模 式 ” ， 并 手 动 合 闸 以 实 现 系 统 供 电 。 虽 然 恢 复 成 果 有 先 有 后 ， 但 整 个 供 电 服 务 恢 复 周 期 仅 为 3 到 6 个 小 时 。 值 得 强 调 的 是 ， 失 去 自 动 化 调 度 控 制 中 心 的 指 挥 有 可 能 带 来 严 重 风 险 ， 而 且 那 些 高 度 依 赖 于 自 动 化 机 制 的 设 施 恐 怕 很 难 以 这 种 方 式 在 短 时 间 内 重 新 运 作 。 总 而 言 之 ， 乌 克 兰 的 各 位 工 作 人 员 完 全 有 理 由 为 自 己 的 勤 劳 与 艰 苦 工 作 点 个 赞 。 截 至 目 前 已 被 曝 出 的 此 次 网 络 攻 击 各 关 键 性 阶 段 截 至 目 前 已 被 曝 出 的 此 次 网 络 攻 击 各 关 键 性 阶 段 : 根 据 现 有 报 道 内 容 ， 我 们 已 经 对 事 件 的 概 貌 拥 有 较 为 明 确 的 了 解 。 此 次 事 故 的 确 切 发 生 时 间 则 仍 然 需 要 加 以 进 一 步 拼 凑 。 恶 意 组 织 发 起 面 向 生 产 S C A D A 系 统 的 入 侵 活 动 。 工 作 站 与 服 务 器 受 到 感 染 。 对 调 度 人 员 进 行 “ 蒙 蔽 ” 。 对 S C A D A 系 统 主 机 进 行 破 坏 （ 包 括 服 务 器 与 工 作 站 ） ： a .   利 用 一 系 列 手 段 拖 延 恢 复 并 引 发 风 险 ， 特 别 是 确 保 S C A D A 系 统 与 上 述 手 段 相 协 调 。
微 信 名 ： 微 信 名 ： E 安 全 安 全 微 信 微 信 I D ： ： E A Q a p p b .   这 些 手 段 还 能 够 令 后 期 取 证 变 得 更 加 困 难 。 呼 叫 中 心 被 大 量 来 电 挤 占 ， 无 法 正 常 应 答 客 户 的 停 电 申 诉 。 截 至 目 前 潜 在 网 络 攻 击 关 键 性 步 骤 概 述 ： 在 对 证 据 及 报 告 进 行 分 析 之 后 ， 我 们 发 现 整 个 攻 击 流 程 中 仍 有 缺 失 的 部 分 未 能 得 到 查 实 。 而 了 解 对 手 的 初 始 足 迹 、 最 终 影 响 以 及 所 指 向 之 系 统 类 型 则 有 助 于 帮 助 我 们 弄 清 对 手 在 此 期 间 不 得 不 做 出 了 哪 些 选 择 — — 然 而 在 此 之 后 ， 其 它 的 情 况 我 们 就 很 难 还 原 了 。 直 到 现 在 ， 我 们 仍 在 继 续 验 证 并 提 示 更 多 具 体 信 息 。 对 方 感 染 了 工 作 站 并 进 一 步 移 动 至 设 施 运 行 环 境 。 开 启 断 路 器 并 导 致 供 电 中 断 （ 通 过 对 乌 克 兰 受 影 响 S C A D A 系 统 进 行 比 对 后 得 出 的 技 术 分 析 结 论 ） 。 （ 可 能 ） 对 该 企 业 网 站 进 行 了 一 次 D D o S 攻 击 。 事 故 有 恶 意 软 件 介 入 ， 但 可 能 并 未 恶 意 软 件 所 引 起 事 故 有 恶 意 软 件 介 入 ， 但 可 能 并 未 恶 意 软 件 所 引 起 有 趣 且 非 常 重 要 的 一 点 在 于 理 解 恶 意 软 件 在 此 次 事 件 中 所 扮 演 的 真 正 角 色 — — 事 实 上 ， S A N   I C S 此 前 曾 发 布 报 告 提 到 其 已 经 出 现 并 感 染 了 一 系 列 网 络 环 境 。 目 前 技 术 业 界 及 各 媒 体 对 此 有 着 两 项 主 流 理 论 ， 其 一 是 认 为 “ K i l l D i s k ” 组 件 仅 仅 是 被 植 入 至 受 害 网 络 当 中 ， 而 对 整 次 停 电 事 故 并 无 实 际 作 用 （ 也 就 是 认 为 此 恶 意 软 件 只 是 碰 巧 存 在 于 其 中 ） ； 其 二 则 认 为 “ K i l l D i s k ” 组 件 应 当 为 此 次 停 电 直 接 负 责 。 不 过 在 我 们 看 来 ， 这 两 种 观 点 恐 怕 并 不 够 准 确 。 恶 意 软 件 很 可 能 介 入 了 此 次 攻 击 ， 而 且 确 实 存 在 着 与 之 相 关 的 针 对 性 入 侵 ， 但 “ K i l l D i s k ” 组 件 本 身 并 不 是 造 成 停 机 的 罪 魁 祸 首 。 同 样 值 得 强 调 的 是 ， 目 前 安 全 行 业 通 过 过 一 系 列 样 本 信 息 进 行 分 析 后 认 为 ， 并 无 任 何 有 力 的 直 接 理 由 证 明 该 恶 意 软 件 涉 及 到 了 这 次 事 件 。 根 据 与 之 相 关 的 追 踪 报 道 ， 该 恶 意 软 件 很 可 能 是 被 他 人 同 B l a c k E n e r g y 以 及 S a n d w o r m 团 队 绑 定 在 了 一 起 ， 二 者 之 间 虽 然 存 在 着 紧 密 结 合 ， 但 尚 无 法 确 定 我 们 从 事 件 当 中 恢 复 出   的 E x c e l 电 子 表 格 文 档 以 及 其 它 恶 意 软 件 样 本 与 事 故 本 身 有 何 直 接 关 联 。 换 言 之 ， 我 们 现 在 要 想 做 出 技 术 分 析 层 面 的 断 言 还 为 时 过 早 。 由 安 全 研 究 人 员 及 企 业 进 行 的 评 估 分 析 极 具 价 值 ， 而 其 工 作 也 应 得 到 鼓 励 。 即 使 是 在 最 糟 糕 的 情 况 下 ， 围 绕 此 次 事 故 展 开 的 分 析 工 作 也 将 带 来 宝 贵 的 经 验 教 训 与 培 训 机 会 。 不 过 分 析 人 士 亦 应 注 意 ， 不 要 过 分 夸 大 恶 意 软 件 样 本 的 分 析 结 论 ， 特 别 是 那 些 与 此 次 事 故 中 某 些 大 规 模 设 施 相 关 的 恶 意 软 件 。 简 单 地 讲 ， 也 许 还 将 有 目 前 尚 未 被 发 现 的 证 据 表 明 ， 恶 意 软 件 中 的 特 定 组 成 部 分 与 攻 击 活 动 并 未 任 何 关 联 。 更 重 要 的 是 ， “ K i l l D i s k ” 清 除 工 具 与 实 际 停 电 事 故 之 间 的 关 联 恐 怕 永 远 无 法 被 弄 清 。 这 是 因 为 相 关 供 电 系 统 与 S C A D A 体 系 根 本 不 支 持 这 种 协 同 证 明 功 能 。 换 句 话 说 ， 着 眼 于 时 间 、 地 点 以 及 影 响 的 观 察 方 式 根 本 不 适 用 于 由 “ K i l l D i s k ” 组 件 本 身 所 造 成 的 破 坏 。 我 曾 经 多 次 观 察 过 一 系 列 S C A D A 系 统 在 遭 受 攻 击 后 的 状 态 ， 其 从 来 不 会 引 发 供 电 中 断 、 甚 至 完 全 不 会 影 响 到 供 电 系 统 。 事 实 上 ， 在 无 法 带 来 助 益 的 前 提 下 将 S C A D A 系 统 同 供 电 系 统 相 结 合 只 会 在 供 电 层 面 带 来 更 高 风 险 ， 只 要 其 “ 状 态 ” 没 有 发 生 过 变 化 （ 例 如 强 制 电 路 断 电 ） ， 那 么 该 系 统 仍 能 够 继 续 传 输 电 力 。 根 据 我 们 目 前 的 估 计 ， 该 恶 意 软 件 允 许 攻 击 者 在 目 标 设 施 当 中 拥 有 了 藏 身 空 间 ， 而 后 开 启 命 令 与 控 制 模 式 ， 并 提 供 攻 击 计 划 实 施 所 必 需 的 目 标 网 络 接 入 及 其 它 必 要 信 息 。 而 根 据 我 们 的 观 察 ， 其 中 的 恶 意 软 件 似 乎 被 用 于 以 拒 绝 S C A D A 系 统 使 用 的 方 式 扩 大 攻 击 影 响 能 力 并 试 图 拖 延 对 已 清 除 文 件 的 恢 复 。 转 载 请 注 明 来 自   E 安 全   （ w w w . e a s y a q . c o m ） 您 也 可 以 下 载 E 安 全 a p p 获 取 及 时 最 及 时 的 安 全 资 讯
❶   点 击 往 期 内 容 ， 查 看 更 多 ❷   复 制 网 址 在 浏 览 器 打 开 w w w . e a s y a q . c o m ❸   长 按 右 侧 二 维 码 ， 关 注 E 安 全 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理