首页 >旅游

乌克兰电力系统被黑事件会在中国上演吗

2019-05-15 03:20:00 | 来源: 旅游

工业控制系统(简称工控系统)是由计算机设备与工业进程控制部件组成的自动控制系统,是工业设施与自动化系统的中枢神经。随着互联技术的高速发展,工控系统的络化浪潮正在澎湃进行中。接入因特,意味着工控系统这个花瓶正摆在高台之上。这个高台既是络攻击的难度,也是国家安全的触碰禁区。

前不久的乌克兰电力系统被黑事件使人们意识到,这个花瓶也有碎的那一天。一旦电力系统被黑客入侵,停电是较低级的危害,不排除发生电力过载、爆炸等可怕后果,让人万分惊诧,甚至不寒而栗!

这个时候,国内以知道创宇为代表的安全企业站了出来,基于络空间安全技术的实力,尤其是多年在工控系统安全领域的研究积累,率先对乌克兰电力系统被黑事件进行了深入分析,以揭开该事件背后的真相;同时综合运用多种手段,普查我国工业控制系统现状,避免同样的事情在我国上演,这正是一家负的络安全企业此时应该做的事情。

在此之前,在2015KCon黑客大会上,曾有人以《工业络渗透直击工控安全的罩门》为题介绍了入侵某工业控制系统的思路,仅限于小范围的思路研讨。半年以后的今天,乌克兰电力系统被黑事件正在引发全球性的热议,对工业控制系统的攻击已经从纯技术交流转变为发生在身边的现实事件。

乌克兰电力被黑事件解析

这次的乌克兰电力系统被黑事件到底是怎么发生的?目前一些细节已被外媒刊出,国内也有媒体作了转译报道。根据各方分析显示,乌克兰电力系统感染了一款名为BlackEnergy的恶意软件,该歹意软件背后直指俄罗斯沙虫(Sandworm)黑客组织,而报道称乌克兰国家安全局指责俄罗斯就是此次电力攻击事件的幕后黑手,乌方已发现并成功移除相关恶意软件。知道创宇目前完成了对BlackEnergy软件演进过程及影响事件的分析,具体以下表所示:

BlackEnergy演进及影响事件表

笔者从知道创宇安全团队处获悉,他们已完成对26个相关病毒样本的研究分析。但从代码特征上看,不能排除其它黑客组织利用了BlackEnergy来达到相干目的的可能性。该事件背后的真实操控者到底是何方神圣,有待更多的证据来证实。

知道创宇安全团队结合络上公开报道中提及的技术信息,和自主的病毒样本分析结果,对此次事件的攻击流程进行了假想性复原:

1. 攻击者使用 Office 沙虫漏洞(CVE-)进行水坑攻击,受害主机履行恶意程序与远端CC服务器进行交互,一些系统信息会被发送到CC服务端上;

2. 沙虫(宏病毒)进行恶意操作,利用工控 HMI 的远程执行漏洞(CVE-)进行内攻击,控制内的 HMI(可能触及 GE Cimplicity, Advantech/BroadwinWebAccess,Siemens WinCC等工控的 HMI,这些 HMI 已由ZoomEye络空间测绘雷达探查确认);

3. 攻击者向HMI植入BlackEnergy,BlackEnergy开启Dropbear SSH 后门,开启6789 端口;

4.攻击者远程启动BlackEnergy的KillDisk组件破坏主机磁盘,从而造成破坏性影响。

攻击进程可能还用到了诸如reDuh、Weevely 3、Dropbear、DSEFix等黑客工具。

杜绝类似事件在我国上演

目前,乌克兰电力系统被黑事件的相关病毒样本特点已被知道创宇收录到旗下云图威胁分析系统之中,通过该系统可以对歹意流量进行检测、实施阻断,形成针对性的防护能力,确保类似事件不在我国上演。

同时,知道创宇利用旗下ZoomEye络空间测绘雷达对全球工控设备组件进行侦测分析,整理出台了《暴露在 Internet 上的工业控制设备》的报告,该报告触及交通、能源、水利等多个领域,从中发现我国有一些重要工业控制系统正处于严重的安全威胁之中。

全球及我国(含台湾)暴露在 Internet 上的工业控制设备统计

Siemens S7 装备我国暴露分布图

EtherNet/IP 设备我国暴露分布图

BACnet设备我国暴露分布图

Crimson V3 装备我国暴露分布图

(以上为原报告中的部分数据截图)

可以看出,我国大陆地区长春、合肥、南京等城市,和我国台湾地区的工控系统面临较大安全风险,建议这些地区快速整改,加强针对性防护措施。

知道创宇已将大量工作成果进行全面分析整理,从乌克兰电被攻击事件出发,形成了我国工业控制系统安全调研白皮书,已时间上报我国信息安全主管部门,为增强国家关键基础设施的安全和我国互联空间的安全,积极贡献自己的气力。据悉,知道创宇安全团队仍在进行紧张的工作,努力绘制互联空间的工业控制系统威胁地图。我们也将延续予以关注。

经期延长量很多怎么办
月经周期紊乱怎么办
月经量少可以中药调理吗

猜你喜欢