搜索

[3919] 2017-06-14_Industroyer：自震网病毒以来对工控系统的最大威胁

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-16
2017-06-14_Industroyer：自震网病毒以来对工控系统的最大威胁 I n d u s t r o y e r ： 自 震 网 病 毒 以 来 对 工 控 系 统 的 最 大 威 胁 原 创   E 安 全   E 安 全   2 0 1 7 - 0 6 - 1 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 6 月 1 4 日 文     位 于 斯 洛 伐 克 反 病 毒 厂 商 E S E T 和 美 国 马 里 兰 州 工 业 网 络 安 全 企 业 D r a g o s   I n c . 的 安 全 研 究 人 员 们 表 示 ， 他 们 发 现 了 一 种 对 关 键 的 工 业 控 制 系 统 存 在 威 胁 并 能 够 导 致 停 电 的 恶 意 程 序 。 E S E T 该 恶 意 软 件 命 名 为 “ I n d u s t r o y e r ” ， D r a g o s 将 该 恶 意 软 件 命 名 为 “ C r a s h o v e r r i d e ” ， 将 威 胁 攻 击 者 称 为 “ E L E C T R U M ” 。 安 全 研 究 人 员 们 认 为 ， 这 套 被 称 为 “ C r a s h o v e r r i d e ” 或 者 “ I n d u s t r o y e r ” 的 恶 意 程 序 框 架 正 是 去 年 1 2 月 导 致 乌 克 兰 基 辅 北 部 地 区 停 电 数 小 时 的 罪 魁 祸 首 。 截 至 本 周 一 ， 现 实 世 界 当 中 仅 出 现 过 三 例 针 对 工 业 控 制 系 统 的 恶 意 程 序 肆 虐 案 例 ， 分 别 为 B l a c k E n e r g y （ 2 0 1 5 年 1 2 月 被 用 于 乌 克 兰 电 网 攻 击 ） 、 H a v e x （ 主 要 用 于 攻 击 欧 洲 境 内 组 织 ） 以 及 最 为 知 名 的 美 国 政 府 开 发 之 S t u x n e t （ 即 震 网 病 毒 ， 2 0 1 0 年 被 用 于 伊 朗 核 设 备 攻 击 ） 。 而 I n d u s t r o y e r 的 出 现 为 这 一 家 族 增 添 了 新 的 成 员 。 斯 洛 伐 克 反 病 毒 厂 商 E S E T 公 司 研 究 员 罗 伯 特 · 利 普 维 斯 基 作 为 这 一 恶 意 程 序 的 发 现 者 ， 他 表 示 这 样 的 恶 意 程 序 拥 有 巨 大 的 潜 在 影 响 能 力 ， 且 绝 不 仅 限 于 乌 克 兰 。 目 前 全 球 范 围 内 各 类 关 键 性 基 础 设 施 都 有 采 用 能 够 被 该 恶 意 程 序 所 侵 扰 的 工 业 硬 件 产 品 。 此 恶 意 程 序 的 发 现 意 义 极 为 重 大 ， 因 为 其 代 表 着 有 史 以 来 第 一 个 直 接 与 电 网 硬 件 进 行 交 互 的 已 知 恶 意 案 例 。 I n d u s t r o y e r 或 与 乌 克 兰 电 网 攻 击 有 关
各 国 立 法 者 们 长 久 以 来 一 直 担 心 此 类 程 序 可 能 以 远 程 方 式 破 坏 工 业 系 统 ， 因 为 其 确 实 有 能 力 通 过 互 联 网 引 发 灾 难 性 的 后 果 。 过 去 ， 黑 客 们 通 过 攻 击 手 段 关 闭 电 力 供 应 的 场 景 只 局 限 于 电 影 当 中 ， 但 如 今 却 开 始 逐 渐 成 为 现 实 。 2 0 1 0 年 研 究 人 员 们 发 现 的 S t u x n e t 震 网 病 毒 显 然 是 希 望 凭 借 自 身 突 破 性 的 渗 透 能 力 引 发 离 心 机 失 控 ， 进 而 破 坏 伊 朗 的 核 研 究 计 划 。 而 到 2 0 1 5 年 ， 网 络 攻 击 使 得 乌 克 兰 国 内 超 过 2 0 万 民 众 失 去 电 力 供 应 。 E S E T 公 司 公 司 E S E T 公 司 在 报 告 中 披 露 称 ， 某 台 安 装 在 乌 克 兰 基 辅 的 电 力 传 输 设 备 曾 于 2 0 1 6 年 1 2 月 1 7 日 晚 因 恶 意 程 序 影 响 而 发 生 服 务 中 断 。 乌 克 兰 官 员 此 前 简 单 宣 称 该 事 故 属 于 网 络 攻 击 ， 但 E S E T 报 告 中 引 用 了 来 自 美 国 马 里 兰 州 工 业 网 络 安 全 企 业 D r a g o s 的 分 析 结 论 ， 通 过 具 体 的 技 术 细 节 说 明 了 该 恶 意 程 序 如 何 破 坏 断 路 器 并 通 过 批 量 删 除 数 据 的 方 式 掩 饰 其 攻 击 痕 迹 。 E S E T 公 司 解 释 称 ， 要 编 写 出 能 够 破 坏 全 球 各 地 负 责 电 力 网 络 运 作 之 工 业 控 制 器 的 代 码 ， 要 求 攻 击 者 一 方 拥 有 强 大 的 技 术 实 力 — — 而 这 亦 证 明 这 批 黑 客 确 实 精 通 此 道 ， 并 拥 有 资 源 在 实 验 室 当 中 测 试 其 恶 意 工 具 。 要 发 动 I n d u s t r o y e r 攻 击 ， 恶 意 攻 击 者 首 先 需 要 入 侵 一 套 基 础 设 施 ， 并 以 此 为 桥 接 点 将 病 毒 传 入 该 系 统 。 攻 击 者 可 以 利 用 网 络 钓 鱼 邮 件 或 者 其 它 感 染 载 体 获 得 初 步 立 足 点 并 收 集 用 户 凭 证 。 E S E T 研 究 员 利 普 维 斯 基 拒 绝 透 露 该 恶 意 程 序 的 幕 后 黑 手 ， 不 过 此 前 乌 克 兰 方 面 官 员 已 经 断 言 此 项 入 侵 应 由 俄 罗 斯 负 责 。 乌 克 兰 官 员 还 没 有 对 相 关 报 道 发 布 回 复 。 安 全 公 司 安 全 公 司 D r a g o s D r a g o s 的 研 究 人 员 认 为 E L E C T R U M   A P T 组 织 与 S a n d w o r m   A P T 组 织 有 直 接 关 系 。 D r a g o s 在 报 告 中 指 出 ， C R A S H O V E R R I D E 恶 意 软 件 于 2 0 1 6 年 1 2 月 1 7 日 影 响 了 乌 克 兰 的 变 电 站 。 这 起 攻 击 中 的 许 多 元 素 似 乎 更 像 是 P o C 。 但 从 间 谍 情 报 技 术 的 演 变 来 看 ， 最 重 要 的 是 理 解 ， 这 款 恶 意 软 件 根 据 过 去 的 攻 击 经 验 被 整 理 和 扩 展 。 D r a g o s 描 述 了 这 款 恶 意 软 件 的 理 论 攻 击 ： 即 黑 客 使 用 I n d u s t r o y e r 无 限 循 环 打 开 关 闭 的 断 路 器 ， 导 致 变 电 站 断 电 。 并 且 ， 由 于 命 令 无 限 循 环 ， 不 断 为 该 值 设 置 地 址 ， 可 以 有 效 打 开 关 闭 的 断 路 器 。 如 果 系 统 操 作 人 员 试 图 在 H M I 上 发 出 关 闭 命 令 ， 则 序 列 循 环 将 继 续 打 开 断 路 器 。 保 持 断 路 器 打 开 的 循 环 将 有 效 使 变 电 站 断 电 ， 阻 止 系 统 操 作 人 员 管 理 断 路 器 并 启 动 线 路 。 因 此 ， 目 标 设 施 的 操 作 人 员 无 法 将 断 路 器 从 H M I 关 闭 ， 为 了 恢 复 供 电 ， 他 们 需 切 断 与 变 电 站 的 通 信 ， 并 手 动 修 复 问 题 。 在 另 一 起 可 能 的 攻 击 场 景 中 ， 黑 客 启 动 无 线 循 环 ， 使 断 路 器 持 续 打 开 、 关 闭 ， 这 可 能 会 触 发 保 护 ， 并 导 致 变 电 站 断 电 。 I n d u s t r o y e r 不 利 用 任 何 “ 零 日 ” 漏 洞 进 行 攻 击 I n d u s t r o y e r 是 一 款 模 块 化 恶 意 程 序 。 其 核 心 组 件 为 一 套 后 门 程 序 ， 攻 击 者 可 利 用 其 管 理 攻 击 活 动 ： 该 后 门 负 责 安 装 并 控 制 其 它 组 件 ， 同 时 接
入 远 程 服 务 器 以 接 收 指 令 以 及 向 攻 击 者 发 送 报 告 。 之 所 以 与 其 它 针 对 基 础 设 施 的 恶 意 软 件 有 所 区 别 ， 是 因 为 I n d u s t r o y e r 不 会 利 用 任 何 “ 零 日 ” 软 件 漏 洞 进 行 恶 意 攻 击 。   I n d u s t r o y e r 的 起 效 原 理 依 赖 于 电 源 基 础 设 施 、 运 输 控 制 系 统 和 其 他 关 键 基 础 设 施 系 统 中 使 用 的 四 种 工 业 通 信 协 议 。 此 类 通 信 协 议 在 欧 洲 、 中 东 以 及 亚 洲 的 基 础 设 施 系 统 中 皆 得 到 普 遍 使 用 。 I n d u s t r o y e r 的 设 计 目 的 在 于 直 接 获 取 配 电 站 内 开 关 及 断 路 器 设 备 之 控 制 权 。 I n d u s t r o y e r 可 以 控 制 几 十 年 前 设 计 的 变 电 站 开 关 和 断 路 器 ， 允 许 攻 击 者 轻 易 地 关 闭 配 电 ， 造 成 级 联 故 障 ， 甚 至 是 对 设 备 造 成 更 严 重 的 损 坏 。 这 对 于 负 责 供 电 设 施 的 从 业 者 来 说 ， 这 无 疑 将 带 来 噩 梦 般 的 情 景 。 I n d u s t r o y e r 的 攻 击 场 景 I n d u s t r o y e r 所 利 用 的 四 种 工 业 通 信 协 议 具 体 包 括 I E C   6 0 8 7 0 - 5 - 1 0 1 、 I E C   6 0 8 7 0 - 5 - 1 0 4 、 I E C   6 1 8 5 0 以 及 O L E 处 理 控 制 数 据 访 问 （ 简 称 O P C D A ） 。
总 体 来 讲 ， p a y l o a d 会 首 先 对 目 标 网 络 进 行 结 构 绘 制 ， 而 后 找 到 其 中 与 特 定 工 业 控 制 设 备 相 关 的 部 分 并 发 出 命 令 。 I n d u s t r o y e r 的 p a y l o a d 证 明 该 恶 意 软 件 作 者 对 于 工 业 控 制 系 统 拥 有 深 厚 的 知 识 积 累 与 了 解 。 通 过 一 系 列 入 侵 ， 该 模 块 化 恶 意 程 序 还 可 用 于 对 美 国 的 基 础 设 施 硬 件 发 动 攻 势 。 而 该 p a y l o a d 本 身 可 影 响 到 A B B 集 团 以 及 西 门 子 等 世 界 领 先 工 业 技 术 开 发 商 生 产 的 多 款 产 品 。 该 恶 意 程 序 中 还 包 含 其 它 几 项 功 能 ， 旨 在 确 保 程 序 自 身 免 受 安 全 检 测 方 案 的 发 现 ， 从 而 实 现 恶 意 程 序 持 久 性 并 在 相 关 活 动 完 成 后 清 除 能 够 证 明 自 身 存 在 的 一 切 痕 迹 。 举 例 来 说 ， 其 与 隐 藏 在 T o r 内 的 C & C 服 务 器 间 的 通 信 活 动 将 仅 限 于 非 工 作 时 间 内 进 行 。 另 外 ， 其 还 采 用 另 一 套 被 伪 装 为 记 事 本 应 用 的 后 门 ， 旨 在 重 新 获 取 对 目 标 网 络 的 访 问 ， 借 此 防 止 主 后 门 遭 到 检 测 或 禁 用 。 另 外 ， 其 清 理 器 模 块 还 能 够 擦 除 系 统 之 内 的 关 键 性 注 册 表 项 并 覆 盖 相 关 文 件 ， 导 致 系 统 无 法 启 动 以 提 升 恢 复 工 作 执 行 难 度 。 更 为 有 趣 的 是 ， 其 中 的 端 口 扫 描 器 会 绘 制 网 络 结 构 并 尝 试 找 到 相 关 计 算 机 ， 而 此 扫 描 器 为 攻 击 者 自 行 开 发 的 定 制 化 工 具 — — 而 未 使 用 任 何 现 有 软 件 。 最 后 ， “ 拒 绝 服 务 ” 工 具 模 块 会 利 用 西 门 子 S I P R O T E C 设 备 当 中 的 C V E - 2 0 1 5 - 5 3 7 4 安 全 漏 洞 并 导 致 目 标 设 备 陷 入 无 响 应 状 态 。 总 结 I n d u s t r o y e r 是 一 款 高 度 定 制 化 恶 意 程 序 。 尽 管 其 能 够 在 通 用 状 态 下 用 于 攻 击 使 用 某 些 常 见 通 信 协 议 的 任 意 工 业 控 制 系 统 ， 但 样 本 分 析 中 发 现 的 部 分 组 件 还 被 设 计 为 针 对 一 部 分 特 定 硬 件 。 例 如 ， 清 除 器 与 其 中 一 项 p a y l o a d 部 件 专 门 用 于 攻 击 来 自 A B B 集 团 的 某 些 工 业 电 力 控 制 产 品 系 统 ， 而 拒 绝 服 务 组 件 则 专 门 针 对 变 电 站 以 及 其 它 相 关 领 域 中 所 使 用 的 西 门 子 S I P R O T E C 设 备 。
从 原 则 上 讲 ， 在 未 进 行 现 场 调 查 的 前 提 下 ， 我 们 很 难 将 攻 击 活 动 与 具 体 恶 意 软 件 关 联 起 来 。 然 而 就 目 前 的 情 况 看 ， 2 0 1 6 年 1 2 月 发 生 的 乌 克 兰 电 网 攻 击 事 件 很 可 能 与 I n d u s t r o y e r 有 关 。 这 是 因 为 该 恶 意 软 件 除 了 确 实 拥 有 执 行 此 类 攻 击 的 独 特 能 力 ， 其 激 活 时 间 戳 亦 为 2 0 1 6 年 1 2 月 1 7 日 — — 与 乌 克 兰 停 电 事 件 的 发 生 时 间 恰 好 相 符 。 2 0 1 6 年 乌 克 兰 电 网 攻 击 事 件 所 引 发 的 各 方 关 注 度 要 低 于 一 年 之 前 的 类 似 攻 击 。 然 而 真 正 值 得 关 注 的 是 ， 此 次 攻 击 中 所 使 用 的 W i n 3 2 / I n d u s t r o y e r 工 具 是 一 款 非 常 先 进 的 恶 意 程 序 ， 无 疑 出 自 水 平 极 高 且 目 标 极 为 明 确 的 攻 击 者 之 手 。 由 于 能 够 长 久 驻 留 在 目 标 系 统 当 中 并 根 据 有 价 值 信 息 以 对 p a y l o a d 进 行 调 试 定 制 化 配 置 ， 因 此 攻 击 者 能 够 保 证 该 恶 意 软 件 适 应 任 何 环 境 — — 这 使 得 I n d u s t r o y e r 变 得 异 常 危 险 。 无 论 乌 克 兰 电 网 遇 袭 事 件 是 否 由 其 为 之 ， I n d u s t r o y e r 的 曝 光 都 应 引 起 世 界 各 地 关 键 性 基 础 设 施 安 全 负 责 人 的 高 度 警 惕 。 由 于 I n d u s t r o y e r 并 不 属 于 蠕 虫 型 病 毒 ： 其 并 不 会 自 动 传 播 或 者 瞬 间 从 某 一 受 感 染 系 统 传 播 到 其 它 系 统 当 中 。 换 言 之 ， 根 据 目 前 掌 握 的 相 关 证 据 来 看 ， 其 无 法 轻 松 实 现 扩 展 。 目 前 尚 不 清 楚 I n d u s t r o y e r 已 经 影 响 到 多 少 组 织 机 构 。 1 4 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 6 月 月   0 1 2 0 1 7 高 考 防 “ 骗 ” 指 南 ， 考 上 了 还 没 完 ？ ！ 0 2 美 国 防 部 评 估 中 国 网 络 作 战 实 力 0 3 N S A 如 何 定 位 泄 密 女 临 时 工 ？ E 安 全 为 您 还 原 追 踪 全 貌 ！ 0 4 看 美 军 如 何 利 用 态 势 感 知 和 态 势 理 解 0 5 影 子 经 纪 人 最 终 身 份 的 可 能 性 分 析 0 6     《 网 络 安 全 法 》 的 实 施 ， 让 谁 更 焦 虑 ？ 0 7 无 视 任 何 网 络 防 御 ！ 顶 级 黑 客 利 用 C P U 接 口 窃 取 敏 感 数 据 0 8 W i n 1 0 也 沦 陷 ， 如 何 应 对 永 恒 之 蓝 ？ 0 9   美 国 情 报 部 门 申 改 7 0 2 外 国 情 报 监 视 法 为 “ 永 久 有 效 ” 1 0 注 意 了 ！ 不 起 眼 的 路 由 器 L E D 灯 可 导 致 隔 离 网 络 数 据 泄 漏 【 含 视 频 演 示 】 1 1 1 0 0 0 万 辆 汽 车 V I N 识 别 码 数 据 被 泄 ， 小 心 买 到 克 隆 车 ！ 1 2 暗 网 攻 击 格 局 分 析 ： 黑 客 盗 亦 有 道 纯 属 胡 说 八 道
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理