搜索

[4642] 2017-12-16_网络战？工控恶意软件“TRITON”袭击、工厂停运

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-16
2017-12-16_网络战？工控恶意软件“TRITON”袭击、工厂停运 网 络 战 ？ 工 控 恶 意 软 件 “ T R I T O N ” 袭 击 、 工 厂 停 运 原 创   E 安 全   E 安 全   2 0 1 7 - 1 2 - 1 6 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 2 月 1 6 日 讯   F i r e E y e 麦 迪 安 调 查 部 门 的 安 全 研 究 人 员 发 现 一 款 针 对 工 控 系 统 （ I C S ） 的 恶 意 软 件 — — “ T R I T O N ” ， 该 软 件 瞄 准 施 耐 德 电 气 公 司 T r i c o n e x 安 全 仪 表 控 制 系 统 （ S a f e t y   I n s t r u m e n t e d   S y s t e m ， S I S ） 控 制 器 ， 造 成 一 家 能 源 工 厂 停 运 ， 幕 后 黑 手 疑 似 为 国 家 支 持 型 攻 击 者 。 这 起 事 件 堪 称 “ 分 水 岭 ” ， T R I T O N 攻 击 让 工 厂 的 所 有 设 备 在 安 全 系 统 正 在 被 破 坏 的 情 况 下 还 能 显 示 正 常 ， 这 是 黑 客 成 功 入 侵 工 控 安 全 系 统 的 第 一 起 正 式 报 告 。 火 眼 和 施 耐 德 均 拒 绝 说 出 受 害 者 的 身 份 和 位 置 。 但 有 安 全 公 司 认 为 这 家 能 源 工 厂 位 于 中 东 ， 而 另 一 家 安 全 司 C y b e r X 则 更 进 一 步 指 出 是 沙 特 阿 拉 伯 。 T R I T O N 攻 击 分 析 攻 击 分 析 T R I T O N 是 攻 击 者 构 建 用 来 与 T r i c o n e x   S I S 控 制 器 交 互 的 攻 击 框 架 。 T r i c o n e x 广 泛 用 于 能 源 行 业 ， 包 括 核 工 业 ， 石 油 和 天 燃 气 。 F i r e E y e 表 示 ， T R I T O N 是 继 “ 震 网 ” （ S t u x n e t ） 蠕 虫 病 毒 和 I n d u s t r o y e r 等 之 后 经 公 开 确 认 为 数 不 多 的 I C S 恶 意 软 件 家 族 。 T R I T O N 与 这 些 攻 击 一 样 ， 能 阻 止 安 全 机 制 执 行 预 期 功 能 ， 从 而 造 成 物 理 破 坏 。 T R I T O N 的 主 要 描 述 及 描 述 见 下 表 ：
S I S 控 制 器 发 现 异 常 可 开 启 保 护 模 式 控 制 器 发 现 异 常 可 开 启 保 护 模 式 : 安 装 在 生 产 线 和 其 它 工 业 设 备 上 的 专 用 设 备 ， 负 责 读 取 工 业 设 备 （ 例 如 工 厂 机 械 、 机 器 人 、 阀 门 、 马 达 等 ） 的 数 据 。 S I S 控 制 器 读 取 数 据 流 以 确 保 工 业 设 备 在 某 些 参 数 区 间 运 作 。 如 果 数 据 偏 离 预 先 确 定 的 安 全 界 限 ， 如 果 数 据 偏 离 预 先 确 定 的 安 全 界 限 ， S I S 控 制 器 会 采 取 一 系 列 措 施 ， 并 可 控 制 器 会 采 取 一 系 列 措 施 ， 并 可 能 会 在 极 端 情 况 下 关 闭 整 个 工 厂 或 生 产 线 能 会 在 极 端 情 况 下 关 闭 整 个 工 厂 或 生 产 线 ， 以 此 保 护 人 身 安 全 和 设 备 安 全 。 F i r e E y e 研 究 人 员 表 示 ， 攻 击 者 在 运 行 微 软 W i n d o w s 操 作 系 统 的 S I S 工 程 工 作 站 上 部 署 T R I T O N ， 将 T R I T O N 伪 装 成 看 似 合 法 的 T r i c o n e x T r i l o g 应 用 程 序 。 该 应 用 程 序 的 主 要 作 用 是 检 查 日 志 ， 是 T r i S t a t i o n 应 用 程 序 套 件 的 组 成 部 分 。 恶 意 软 件 T R I T O N 会 读 取 在 被 感 染 S I S 工 程 工 作 站 上 发 现 的 配 置 文 件 ， 识 别 S I S 控 制 器 ， 并 尝 试 部 署 特 定 的 P a y l o a d 。 当 P a y l o a d 被 配 置 为 关 闭 生 产 过 程 或 允 许 S I S 控 制 的 机 械 在 不 安 全 的 状 态 下 运 作 ， 很 可 能 会 带 来 物 理 破 坏 。 攻 击 者 开 发 造 成 物 理 破 坏 的 能 力 ， 同 时 导 致 运 作 中 断 的 原 因 分 析 如 下 ： 修 改 S I S 可 能 会 妨 碍 其 正 常 运 作 ， 从 而 增 加 了 造 成 物 理 后 果 的 可 能 性 。 T R I T O N 被 用 来 修 改 环 境 中 S I S 控 制 器 的 应 用 程 序 内 存 ， 这 可 能 会 导 致 验 证 检 查 失 败 。 T R I T O N 使 用 期 间 发 生 故 障 。 事 件 发 生 期 间 ， 孤 立 的 现 有 或 外 部 条 件 不 可 能 造 成 故 障 。 T R I T O N 背 后 操 纵 者 身 份 分 析 背 后 操 纵 者 身 份 分 析 F i r e E y e 研 究 人 员 有 一 定 的 把 握 认 为 ， 攻 击 者 正 在 开 发 带 来 物 理 破 坏 和 导 致 运 作 中 断 的 能 力 。 F i r e E y e 未 将 这 起 活 动 与 目 前 追 踪 的 任 何 攻 击 者 关 联 起 来 ， 但 是 有 一 定 把 握 认 为 ， 该 攻 击 的 幕 后 黑 手 是 国 家 支 持 型 黑 客 。 首 先 ， 针 对 S I S 发 起 攻 击 本 身 就 说 明 攻 击 者 计 划 发 起 具 有 高 度 影 响 力 的 攻 击 ， 这 种 攻 击 附 带 物 理 后 果 ， 这 种 攻 击 目 标 并 非 是 网 络 犯 罪 团 伙 的 典 型 表 现 。 鉴 于 T R I T O N 以 关 键 基 础 设 施 为 靶 子 ， 未 表 现 出 明 显 的 牟 利 意 图 ， 攻 击 者 创 建 此 攻 击 框 架 必 需
的 技 术 资 源 很 完 备 ， 这 些 均 说 明 T R I T O N 的 幕 后 黑 手 是 实 力 雄 厚 的 国 家 型 黑 客 。 至 于 属 于 具 体 哪 个 国 家 的 黑 客 ， 具 体 遭 到 T R I T O N 攻 击 的 公 司 名 称 以 及 其 所 属 行 业 等 信 息 ， 研 究 人 员 拒 绝 透 露 。 T R I T O N 编 码 先 进 编 码 先 进 F i r e E y e 多 次 在 报 告 中 指 出 ， 攻 击 者 技 能 高 超 ， 有 带 来 大 肆 破 坏 的 打 算 。 第 一 ， 攻 击 者 访 问 S I S 系 统 后 不 久 便 部 署 了 T R I T O N ， 这 表 明 他 们 预 先 创 建 并 测 试 了 需 要 访 问 硬 件 和 软 件 的 工 具 。 T R I T O N 还 被 设 计 使 用 非 公 开 记 录 的 专 有 T r i S t a t i o n 协 议 进 行 通 信 ， 这 说 明 攻 击 者 独 立 对 该 协 议 进 行 了 逆 向 工 程 研 究 。 其 次 ， 这 款 恶 意 软 件 设 计 了 在 S I S 控 制 器 上 掩 盖 踪 迹 的 机 制 。 第 三 ， 攻 击 者 感 染 了 隔 离 网 络 上 的 一 台 S I S 工 程 工 作 站 。 因 此 ， F i r e E y e 认 为 ， 这 并 不 是 一 起 偶 然 黑 客 事 件 或 单 纯 的 竞 争 对 手 搞 破 坏 的 行 为 ， 而 是 国 家 攻 击 者 的 行 径 。 以 关 键 基 础 设 施 为 目 标 ， 影 响 、 破 坏 或 摧 毁 系 统 的 方 式 ， 与 俄 罗 斯 、 美 国 、 伊 朗 、 以 色 列 和 朝 鲜 国 家 支 持 型 攻 击 者 在 全 球 范 围 内 发 起 的 数 起 攻 击 和 探 测 活 动 一 致 。 这 类 性 质 的 入 侵 一 定 意 味 着 有 立 即 破 坏 目 标 系 统 的 意 图 ， 这 可 能 是 一 场 现 场 测 试 ， 或 是 为 大 型 攻 击 做 准 备 。 建 议 建 议 资 产 所 有 者 可 以 考 虑 采 取 以 下 控 制 措 施 ： 在 技 术 可 行 的 情 况 下 ， 将 安 全 系 统 网 络 与 过 程 控 制 信 息 系 统 网 络 隔 离 开 。
能 用 来 设 计 S I S 控 制 器 的 工 程 工 作 站 不 应 与 其 它 任 何 D C S （ 分 布 式 控 制 系 统 ） 过 程 控 制 信 息 系 统 网 站 进 行 双 宿 （ D u a l - H o m e d ） 连 接 。 利 用 提 供 物 理 控 制 能 力 的 硬 件 功 能 对 安 全 控 制 器 进 行 编 程 ， 一 般 通 过 物 理 密 钥 控 制 的 交 换 机 实 现 。 在 T r i c o n e x 控 制 器 上 ， 除 了 预 定 的 编 程 事 件 期 间 ， 密 钥 不 应 留 在 P R O G R A M 模 式 中 。 通 过 变 更 管 理 程 序 改 变 密 钥 位 置 。 定 期 审 查 当 前 的 密 钥 状 态 。 对 于 依 赖 S I S 提 供 数 据 的 任 何 应 用 程 序 ， 使 用 单 向 网 关 网 络 连 接 ， 而 不 是 双 向 网 关 。 在 能 通 过 T C P / I P 访 问 S I S 系 统 的 任 何 服 务 器 或 工 作 站 上 采 用 严 格 的 访 问 控 制 和 应 用 白 名 单 措 施 。 监 控 I C S 网 络 流 量 ， 检 测 意 外 通 信 流 量 和 其 它 异 常 活 动 。 其 他 其 他 I C S 恶 意 软 件 恶 意 软 件 研 究 人 员 发 现 的 I C S 恶 意 软 件 不 止 T R I T O N ， 先 前 浮 出 水 面 的 I C S 恶 意 软 件 包 括 针 对 伊 朗 核 设 施 的 S t u x n e t ， 针 对 乌 克 兰 电 网 的 I n d u s t r o y e r 和 B l a c k E n e r g y ， 以 及 针 对 美 国 的 S a n d w o r m 。 2 0 1 7 年 9 月 ， 赛 门 铁 克 公 司 发 出 预 警 称 ， 国 家 型 黑 客 组 织 “ 蜻 蜓 ” （ D r a g o n f l y ） 加 大 力 度 攻 击 美 国 和 欧 洲 能 源 公 司 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 2 2 2 4 8 3 3 4 3 . s h t m l 推 荐 阅 读 ： 朝 鲜 黑 客 发 威 ！ 成 功 入 侵 美 国 多 家 工 控 企 业 2 0 1 8 年 物 联 网 1 0 大 预 测 西 门 子 发 现 访 问 控 制 漏 洞 C V E - 2 0 1 7 - 1 2 7 3 6   多 款 工 业 交 换 机 受 影 响 全 球 工 控 系 统 遭 攻 击 比 例 排 名 ， 中 国 第 五 美 国 T P C 正 在 制 定 物 联 网 网 关 基 准 工 控 安 全 亟 待 重 视 ， 如 何 改 进 工 控 系 统 修 复 过 程 ？ 《 全 球 I C S 和 I I o T 风 险 报 告 》 ： 近 三 分 之 一 的 工 业 网 络 连 接 到 互 联 网
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理