年度盘点 | 2020重大网络安全事件 · 工控篇

近期发现的 Snake 勒索软件一直以工业控制系统（ICS）相关文件为攻击目标。勒索软件被大量混淆，目的在针对整个网络而不是单个计算机或服务器。Snake 勒索软件在执行后将删除计算机的卷影副本，还会杀死与 SCADA 系统、虚拟机、工业控制系统、远程管理工具、网络管理软件等有关的许多进程。然后，该恶意软件会跳过 Windows 系统文件和文件夹来加密系统上的文件。Snake 勒索软件在文件扩展名后附加一个“Iksrt”字符串。并且将 “EKANS” 字符串标记附加到每个加密文件上。完成加密过程的勒索软件将创建一个 TXT 文件说明，描述相关勒索信息和邮件地址用于接收付款信息。Otorio 表示，Snake 勒索软件是由伊朗创建的，主要目标是工业控制系统。

参考链接：

https://securityaffairs.co/wordpress/96939/malware/snake-ransomware-ics.html

2020年3月，俄语黑客组织 Digital Revolution 泄露了一个名为 Fronton 的 IoT 僵尸网络的细节，该僵尸网络据称是一个承包商为俄罗斯情报机构联邦安全局（FSB）建造。泄露的 Fronton 的项目包含12个技术文档、图表和代码片段。泄露的数据表明该项目大量参考了僵尸网络 Mirai。Mirai 于2016年底用于构建大型 IoT 僵尸网络，并被用于向 ISP 等目标发动 DDoS 攻击。Fronton 僵尸网络能够暴力破解基于 Linux 的智能设备，当前 IoT 系统绝大多数使用该类设备。Digital Revolution 曾分别于2018年12月和2019年7月泄露 FSB 承包商的项目，包括社交媒体监控、Tor 流量去匿名化、电子邮件通信监视等项目。

参考链接：

从事钢铁采矿和制造的 EVRAZ 公司遭到勒索软件攻击，使其在北美、俄罗斯和乌克兰分支机构的业务暂停。该公司的一位消息人士称，加拿大和美国的钢铁生产厂也受到了这次袭击的影响。该公司的总部正在尽力遏制文件加密恶意软件的传播，已在很大程度上取得了成功。Prima Facie 表示 EVRAZ 的数据库遭到 Ryuk Ransomware 攻击，攻击会导致生产工作暂停一段时间，可能会使美国1400多人和加拿大1800人失业几天。

企业网络一旦遭到破坏，导致的损失远比网络安全建设投入的资金要大，企业应该加强网络安全管理，防止网络遭到破坏。

参考链接：

https://www.cbc.ca/news/canada/saskatchewan/evraz-regina-shut-down-ransomware-attack-1.5487017

2020年5月22日，YOROI 团队披露了一系列高度定向的攻击活动，攻击目标为从事制造业务的意大利公司，其中一些公司还属于汽车生产链。此次攻击事件指纹与 YOROI 团队之前披露的多起攻击事件（Roma225、Hagga、YAKKA）存在一定关联性。基于对攻击者背景、攻击目的等方面的研判，该起攻击事件的背后黑客团伙疑似来自巴基斯坦地区的 Gorgon APT 组织。该次攻击事件采用鱼叉邮件方式进行投递 Macro VBA 宏的文档，经过多重解密装载流程，最终释放商业木马 AgentTesla 实现窃密。

参考链接：

https://yoroi.company/research/cyber-criminal-espionage-operation-insists-on-italian-manufacturing/

本月初，伊朗霍尔木兹海峡的重要港口沙希德·拉贾伊遭遇网络攻击，致使该港口水路和道路运行严重混乱。伊朗港口和海事组织总干事承认了此事，并且表示最近的网络攻击未能渗透到港口和海事组织的系统（PMO），只能渗透并破坏港口的个人计算机系统。有消息称此次攻击可能与以色列有关。

英国广播公司（BBC）发布的一份报告称，汽车制造商本田遭到了网络攻击，随后该公司在 Twitter 上证实了这一消息。另一个同样在 Twitter 上披露的类似攻击事件的受害者是 Edesur SA，该公司隶属于 Enel Argentina，从事能源分配业务。根据公布的样本，这些事件可能与 EKANS / SNAKE 勒索软件系列有关。

2020年7月，Honeywell 发布研究报告，表示恶意 USB 软件可能会导致 ICS 中断，并称在过去1年，使用 USB 传播的恶意软件数量大幅增加。报告基于该司 USB 安全平台收集的12个月的数据，涉及美洲、亚洲和欧洲60个国家的石油、天然气、能源、化工、食品、航运、航空航天和制造等行业，在 USB 设备上发现的恶意软件虽仅有11%是专门针对工业系统设计，但检测到的威胁有59%可能会对工业系统造成严重破坏。

2020年7月1日，FortiGuard Labs 发布报告，称在5月底和6月发现针对 ICS 系统的 EKANS 勒索软件变种。新变种使用 GO 语言编写，执行时会确认目标环境、隔离感染的系统、加密过程中使用 RSA 公钥、识别并停止特定的服务和进程、删除卷影副本等操作，6月的变种还有关闭主机防火墙的行为。

2020年7月15日，FireEye 发布报告，对存在针对 ICS 系统的7个勒索软件进行了分析，目前至少确定了 DoppelPaymer、LockerGoga、Maze、MegaCortex、Nefilim 和 SNAKEHOSE 这6个勒索软件与过去两年影响工业组织的重大事件有关，并公开了 CLOP 勒索软件与工控进程有关的硬编码列表。虽然这些勒索软件基本上都是出于经济动机，但客观上使得 OT 组织面临的安全风险增大，而随着更多的 IT 服务和功能被引入到 OT 解决方案中，OT 系统将面临更复杂的网络威胁。

2020年7月23日，NSA 和 CISA 对针对美国关键基础设施网络发出警报，称最近有攻击者表现出通过 OT 网络对关键基础设施进行恶意网络活动的意图，具体表现在针对 Triconex TriStation 和 Triconex Tricon 通信模块，而这些模块被广泛应用在电厂、工厂、石油和天然气等工业环境中。

h t tps://www.fortinet.com/blog/threat-research/ekans-ransomware-targeting-ot-ics-systems

Windows XP 和 Windows Server 2003 的源代码泄漏并发布在多个文件共享站点上，例如 Mega 和 4Chan。Microsoft 在 2014 年终止了对 Windows XP 的支持，在 2015 年终止了对 Windows Server 2003 的支持。像 Windows XP 和 Windows Server 2003 这样的 EOL（ e nd-of-life ）操作系统有数百个已知的漏洞，黑客可以通过这些漏洞渗透组织的 OT 网络。运行 EOL Windows 操作系统的 IoT 设备在医院中很常见。一个典型的中型医院平均有 75 种不同类型的医疗成像设备，其中继续依赖使用 Windows XP 和 Windows Server 2003 的设备非常多。不仅限于医疗保健行业中的 IoT 设备，此问题也影响到制造业等其他行业。