在2019年3月7日，委内瑞拉全国发生大规模停电事件，影响23个州中的18个州，美国被指导演了这场针对委内瑞拉的“电力战争”，但目前并没有直接证据. 但美国国务卿迈克•蓬佩奧在3月7日晚上发布了一条推特：“No food. No medicine. Now, no power. Next, no Maduro.”，似乎印证了该指责。迈克•蓬佩奧的Twitter截图如图2-1所示。
2003年1月，美国俄亥俄州Davis-Besse核电站和其它电力设备受到SQL Slammer（也被称为“蓝宝石”）蠕虫攻击，导致该核电站计算机处理速度变缓、安全参数显示系统和过程控制计算机长达5小时无法正常工作。经调查发现，该病毒利用SQL Server 2000中1433端口的缓冲区溢出漏洞进行攻击，在攻击成功后，它会尝试感染随机生成的IP地址对应的主机，进而使得网络拥堵，造成SQL Server无法正常工作甚至宕机。
2012年8月15日，沙特阿拉伯国营石油公司阿美石油公司(Aramco)遭到Shamoon电脑病毒的侵袭。该病毒清除了四分之三的阿美公司企业PC上的数据（电子表格、电子邮件等文件），并用一张燃烧的美国国旗图片改写了硬盘的主引导记录。美国官员进而暗示，这起攻击事件是在某个国家政府的支持下进行的，其中有些报道援引有些人的猜测表示，Shamoon电脑病毒来自伊朗。然而，在这场电脑病毒袭击事件发生后，一个自称为“正义利剑”（Cutting Sword of Justice）的黑客行动主义者组织声称对这起事件负责，他们表示，他们此举是为了抗议沙特政府采取的相关行动。
这是2008年爆发的一个极严重的微软操作系统漏洞，其特点是利用简单、波及范围广、危害程度高。具体而言，存在此漏洞的系统收到精心构造的RPC请求时，可能允许远程执行代码。在Windows 2000、Windows XP和Windows Server 2003系统中，利用这一漏洞，攻击者可以通过恶意构造的网络请求直接发起攻击，无需认证直接执行任意代码，并且具有完整的权限。Stuxnet利用这个漏洞实现在内部局域网中的传播。
Duqu恶意代码包含两部分，一部分用于信息侦测，另一部分用于信息传送。Duqu在执行30天后会自毁并删除所有的入侵痕迹，但攻击者也可以通过控制C2服务器下发额外的配置来推迟自毁时间。Duqu攻击没有使用0day漏洞利用程序来帮助其传播，也不能像Stuxnet那样自动的传播，但是一旦机器感染了Duqu，攻击者只需手动的向受控制的服务器上发送攻击指令，它就可以立即感染其他的机器。安全研究人员在代码中还发现了复活节彩蛋，它包含了一行版权声明“Copyright (c) 2003 Showtime Inc. All rights reserved. DexterRegularDexter”，Dexter是指在Showtime电视台放映的《嗜血法医》。
OPC（Ole for Process Control）是一种通信标准，采用CLIENT/SERVER模式。针对硬件设备的驱动程序由硬件厂商或专门的公司完成，并提供具有统一OPC接口的SERVER程序，软件厂商按照OPC标准访问SERVER程序，即可实现与硬件设备的通信。Havex变种带有一个OPC扫描模块，它可以收集被入侵客户端或服务端的系统中存储的OPC协议的信息和数据。OPC扫描模块会探测TCP 44818、105和502端口上运行的设备。这些端口在西门子和罗克韦尔自动化等ICS / SCADA公司的产品上是通用的。
2017年6月12日，一款针对电力变电站系统进行恶意攻击的工控网络攻击武器 Industroyer 被ESET披露。随后，启明星辰ADLab立即对该恶意代码进行深度分析，通过分析我们发现该攻击武器可以直接控制断路器，可导致变电站断电。 Industroyer 恶意软件目前支持四种工控协议：IEC 60870-5-101、IEC 60870-5-104、IEC 61850以及OLE for Process Control Data Access（简称OPC DA）。这些协议广泛应用在电力调度、发电控制系统以及需要对电力进行控制行业，例如轨道交通、石油石化等重要基础设施行业，尤其是 OPC 协议作为工控系统互通的通用接口更广泛应用在各工控行业。可以看出，攻击者对于工控系统尤其是电力系统相关的工控协议有着深厚的知识背景，并且具有目标工控环境下的各种工控设备，攻击者需要这些设备来实现恶意代码的编写和测试工作。
从恶意软件的攻击流程中我们可以推测该黑客可能的攻击路径：首先黑客可以通过电子邮件、办公网系统、外来运维终端、U盘等途径成功入侵一台主机(如：内网的10.15.1.69)，并且在该主机联网时下载必要的模块执行比如 Tor 网络客户端或者代理服务模块等作为后续攻击的回连跳板，黑客接下来以该主机为跳板对系统局域网络进行探测扫描，当发现自己感兴趣的目标(是否为104从站、OPC服务器或者操作站等)后对其实施攻击，一旦攻击成功，黑客就将这台可以连接外网的主机 IP 配置为攻击模块 Main Backdoor 的代理IP，下发到该主机中，这台主机是可以直接与 RTUs 或者 PLCs 进行通信的，并且可以做直接的控制。
Main Backdoor模块主要用于实现与攻击者C&C通信，在收到控制命令数据后，它会对数据做一定处理，最后创建一个线程来处理黑客端发来的控制请求，如图3-20所示。
发 帖
发表于 2022-11-27 12:17:51
