搜索

[5207] 2018-06-11_没想到吧！让中东工厂停运的工控恶意软件Triton只是个实验品！

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2018-06-11_没想到吧！让中东工厂停运的工控恶意软件Triton只是个实验品！ 没 想 到 吧 ！ 让 中 东 工 厂 停 运 的 工 控 恶 意 软 件 T r i t o n 只 是 个 实 验 品 ！ 原 创   E 安 全   E 安 全   2 0 1 8 - 0 6 - 1 1 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 6 月 1 1 日 讯   2 0 1 7 年 8 月 ， 中 东 某 家 石 油 天 然 气 工 厂 遭 遇 黑 客 攻 击 停 运 ， 罪 魁 祸 首 是 被 称 为 最 强 的 工 控 恶 意 软 件 T R I T O N （ 又 称 为   T r i s i s   和   H a t M a n ） 。 F i r e E y e   对 该 软 件 进 行 深 入 研 究 后 表 示 ， T r i t o n   的 开 发 者 复 用 了 现 成 代 码 ， 且 其 开 发 者 甚 至 对 T r i t o n 的 功 能 及 破 坏 性 尚 不 够 了 解 ， 此 前 造 成 能 源 工 厂 停 运   ， 很 可 能 只 是 个 “ 意 外 意 外 ” 。 关 于 关 于   T R I T O N T R I T O N   的 厉 害 之 处 在 于 其 完 整 的 文 件 库 通 过 五 种 不 同 的 编 程 语 言 构 建 ， 一 支 专 业 的 恶 意 软 件 开 发 团 队 也 需 要 花 上 一 年 时 间 才 能 开 发 出 与   T r i s i s   相 匹 敌 的 恶 意 软 件 ， 至 今 该 软 件 的 构 造 及 其 背 后 的 黑 客 组 织   X e n o t i m e 身 份 至 今 仍 是 个 迷 。 这 款 恶 意 软 件 被 指 与 伊 朗 有 关 ， 最 近   X e n o t i m e   被 发 现 已 扩 大 攻 击 目 标 范 围 。 关 于 恶 意 软 件 关 于 恶 意 软 件 T r i t o n 的 具 体 研 究 的 具 体 研 究 F i r e E y e   的 实 践 团 队   （ A d v a n c e d   P r a c t i c e s   T e a m ） 对   T r i t o n   进 行 了 详 细 分 析 ， 将 其 描 述 为 一 款 恶 意 软 件 框 架 ， 并 研 究 判 断 它 的 创 建 时 间 和 创 建 方 式 。 在   T r i t o n   恶 意 软 件 让 能 源 工 厂 停 运 的 那 起 事 件 中 ， T r i t o n   当 时 利 用 的 是 影 响   T r i c o n e x   S I S   多 个 老 旧 版 本 的 一 个   0 d a y   漏 洞 。 攻 击 者 以 施 耐 德 电 气 公 司 的   T r i c o n e x   安 全 仪 表 系 统 （ S I S ） 控 制 器 为 目 标 ， 该 控 制 器 使 用 了 专 有 的   T r i S t a t i o n   网 络 协 议 ， 此 协 议
旨 在 为 个 人 计 算 机 （ 如 工 程 工 作 站 ） 和   T r i c o n e x   控 制 器 之 间 的 通 信 而 设 计 。 由 于 这 个 协 议 并 不 存 在 公 开 的 文 档 说 明 ， 因 此 并 不 容 易 理 解 ， 不 过 施 耐 德 电 气 公 司 已 通 过   T r i S t a t i o n   1 1 3 1   软 件 套 件 执 行 了 它 。 目 前 尚 不 清 楚 攻 击 者 是 如 何 获 得 测 试   T r i t o n   的 硬 件 和 软 件 。 F i r e E y e   表 示 ， 它 们 可 能 是 从 某 个 政 府 实 体 购 买 或 借 取 的 ， 也 有 可 能 软 件 是 从 使 用   T r i c o n e x   控 制 器 的 工 控 公 司 或 其 它 组 织 机 构 盗 取 的 。 T r i t o n   的 开 发 者 复 用 了 现 成 代 码 的 开 发 者 复 用 了 现 成 代 码 F i r e E y e   的 研 究 人 员 认 为 ， T r i t o n   恶 意 软 件 的 开 发 者 并 不 是 从 零 开 始 构 建 恶 意 软 件 的 开 发 者 并 不 是 从 零 开 始 构 建   T r i S t a t i o n   通 信 组 件 ， 而 是 从 合 法 库 中 复 制 了 通 信 组 件 ， 而 是 从 合 法 库 中 复 制 了 代 码 。 代 码 。 例 如 ， 研 究 人 员 发 现   T r i t o n   恶 意 软 件 中 的 代 码 与 一 款 文 件 名 为 “ t r 1 c o m 4 0 . d l l ”   的 合 法 的   T r i S t a t i o n   软 件 文 件 代 码 之 间 存 在 多 个 相 似 点 。 虽 然 通 过 逆 向 合 法 的   D L L   文 件 可 能 有 助 于 攻 击 人 员 理 解   T r i S t a t i o n   的 工 作 原 理 ， 但   T r i t o n   中 的 代 码 表 明 开 发 人 员 并 未 全 部 理 解 它 。   攻 击 者 碰 攻 击 者 碰 “ 巧 让 巧 让 ” 能 源 公 司 停 运 能 源 公 司 停 运 对   T r i S t a t i o n   的 工 作 原 理 的 不 完 全 理 解 ， 极 可 能 导 致 攻 击 者 在 攻 击 相 关 组 织 机 构 的 关 键 基 础 设 施 中 遇 到 问 题 ， 且   T r i t o n   恶 意 软 件 的 发 现 就 是 因 为 攻 击 者 在 攻 击 过 程 中 ， 不 慎 导 致   S I S   控 制 器 触 发 安 全 关 闭 之 后 被 曝 光 。 安 全 专 家 认 为 ， 攻 击 者 之 前 可 能 一 直 在 进 行 测 试 ， 试 图 判 断 哪 些 条 件 才 能 造 成 物 理 损 害 。 F i r e E y e 的 报 告 指 出 ， 6 个 月 前 尚 未 出 现 针 对   T r i c o n e x   系 统 的 恶 意 攻 击 ， 此 后 可 能 还 会 出 现 如   T r i t o n   等 可 以 合 理 用 于 其 它   S I S 控 制 器 和 相 关 技 术 的 框 架 。 如 果   T r i c o n e x   在 这 个 范 围 内 ， 那 么 未 来 可 能 会 看 到 类 似 的 攻 击 方 法 ， 或 将 影 响 主 要 的 工 业 安 全 技 术 。 工 业 网 络 安 全 公 司   D r a g o s   最 近 表 示 ，   T r i t o n   攻 击 的 幕 后 组 织   X e n o t i m e   仍 在 活 跃 ， 除 施 耐 德 的   T r i c o n e x   外 ， 该 组 织 还 针 对 全 球 各 地 的 其 他 组 织 机 构 的 安 全 系 统 发 动 攻 击 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 0 4 2 0 5 5 3 4 1 . s h t m l 推 荐 阅 读 ： 工 控 恶 软 T R I T O N 搅 局 中 东 ， 与 “ 震 网 ” 有 何 区 别 ？ 网 络 战 ？ 工 控 恶 意 软 件 “ T R I T O N ” 袭 击 、 工 厂 停 运 " 最 强 " 工 控 恶 意 软 件 T r i s i s 的 幕 后 黑 手 已 扩 大 攻 击 目 标 多 品 牌 工 业 控 制 器 存 在 拒 绝 服 务 （ D o S ） 漏 洞 工 控 系 统 网 络 入 侵 平 均 驻 留 时 间 ： 2 0 0 天 以 上 报 告 ： 能 源 行 业 成 工 控 系 统 攻 击 最 大 受 害 者 企 业 G D P R 合 规 助 手 ： S I E M 工 具
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理