原标题：俄罗斯黑客组织“蜻蜓”插入美国电网

摘要

安全公司赛门铁克称，近来，一个俄罗斯黑客组织使用一种复杂的网络武器，已经使1000多家欧洲和北美能源公司受损，与震网相似，这种网络武器可以使黑客们访问到能源部门的控制系统。该黑客组织也被称为“蜻蜓”，自2011年起便开始活跃的东欧黑客团体，并且自从2013年就一直使用钓鱼网站和木马对美国和其他一些国家的能源供应商组织实施攻击。

最近针对能源部门的攻击表明，蜻蜓黑客组织已经可以使用电脑控制操作系统。针对美国能源行业对网络攻击的脆弱性的担忧再次浮出水面，本周安全公司赛门铁克发出了不祥的警告，称威胁行为者（网络黑客）获得了潜在地访问并破坏关键的控制系统的能力。

在一份报告中，赛门铁克公司指出它有证据显示，此前被称为“蜻蜓”的组织，一直在针对美国、土耳其和瑞士的能源行业实施了一连串的网络攻击。

蜻蜓又被叫做“充满活力的熊的俄罗斯黑客组织”，自2011年以来，它一直与世界各地数百起的工业、制造业、制药、教育和建筑行业的组织的遭遇网络袭击有关。自2015年12月以来，一直有针对能源公司的袭击活动，并且它似乎是为了能够进入电网运行的系统而设计的。赛门铁克公司认为，现有的证据表明入侵者已经控制了能够完全访问这样的操作系统的计算机，从而他们有在未来破坏电网的能力。最近的一波袭击表明，蜻蜓集团已经进入了第二阶段并且在其操作中明显会产生更多的危险的阶段。

在过去，蜻蜓黑客组织对电网公司的攻击似乎是专注于信息收集和了解能源设施是如何运作的。然而随着新的攻击，赛门铁克公司已经把它命名为蜻蜓2.0，该黑客组织似乎正使用这些知识，尝试并取得进入操作系统的机会，以便破坏它们。

最初蜻蜓黑客组织的活动似乎本质上一直是探索性的，然而赛门铁克公司的高级威胁情报分析员约翰.迪马焦奥指出，新一波的攻击似乎集中于收集情报和获取进入操作系统的机会上。

迪马焦奥说：“如此多的信息对一个造成与能源有关的牺牲品的攻击者来说是有用的，如果不是为了经济上获利或盗取了知识产权，那么攻击者的访问很可能是为了提供一个战略或军事优势。而关掉电源就能获得此结果”。

近年来，把关键基础设施当作目标的网络攻击一直是一个备受关注的问题。2012年，震网病毒对伊朗在纳坦兹的铀浓缩设施的攻击，是第一个展示恶意软件如何被用来对关键的控制设备造成巨大的物理性破坏的例子。

当一系列的网络攻击造成在乌克兰发生了大面积的停电的时候，这些问题在2015年末和2016年12月再次成为了焦点。一些能源供应商把2015年的攻击归咎于一个俄罗斯的黑客组织“沙虫”，它被认为是感染了一个国家的发电厂系统的病毒，带有通过BlackEnergy木马病毒给予的一个磁盘擦除工具。

今年早些时候，ESET（它是总部位于斯洛伐克布拉迪斯拉发的一家世界知名的电脑安全软件公司）和Dragos公司的安全研究人员确定了被用于2016年乌克兰袭击事件中的被叫做Industroyer或CrashOverride的恶意软件。该恶意软件是被一个他们叫做“ELECTRUM”的威胁组织开发的。

两家公司描述了通过利用工业控制系统中广泛使用的通信协议，该定制的恶意软件是旨在破坏电网的运行。只要系统使用了这个脆弱的协议，恶意软件就能够对来自任何厂家的设备进行破坏。

与之前被用在以前的攻击活动中的复杂的恶意软件形成鲜明对比的是，在蜻蜓2.0攻击中使用的恶意软件是更加普通的工具，黑客似乎是故意选择了这样的工具，以避免引起注意和归因。

迪马焦奥说：“攻击者被发现使用非常普通的工具，以避免被发现并且使用多种公开可用的工具和资源，让发觉这次的攻击活动比以往更加的困难”。这样的工具的例子包括PowerShell、Bitsadmin以及PsExec。他还补充道，在某些情况下，攻击者还使用Flash更新和Windows应用程序的Trojanized版本（例如MS Calc、Crash Reporter和TCPview）来提供后门并利用其他的恶意软件。传播恶意软件的典型方法包括鱼叉式网络钓鱼电子邮件和水坑式攻击。

到目前为止，赛门铁克公司并没有发现在蜻蜓2.0攻击活动中使用了任何零日漏洞或其他漏洞。在攻击中使用的恶意软件中的一些代码字符串是俄文的，而另一些则是法文的。安全厂商认为，这表明该组织有意不让安全研究人员知道它的发源地。

Claroty公司的创办人加利纳.安托瓦认为关于“蜻蜓2.0”攻击活动背后的俄罗斯黑客的报道是可信的。安托瓦说：“这个敌人已经对乌克兰的电网发动了两次攻击了，两次攻击分别发生在2015年12月和2016年12月。除了对乌克兰造成伤害之外，这些攻击很可能也是攻击者进行的训练，这些攻击者正在练习他们的谍报技术并构建恶意软件工具，这些工具可以稍后用于攻击其他的目标”。与此同时，获得进入控制系统的机会是很容易的部分。安托瓦说：“为了造成实际的破坏，比如关掉控制功率流的断路器，黑客必须具备特定的控制系统知识”。

然而像沙虫这样的黑客组织已经展示了他们在乌克兰进行网络攻击的熟练程度，安托瓦说：“对美国电网造成大规模连锁故障要困难得多，并且需要有关于安全系统和弹性控制的知识”。然而，造成大面积破坏的一个攻击并不是不可能发生的。

Positive Technologies公司网络安全弹性领导利安妮.加洛韦透露，她的公司在年度安全会议上有一个SCADA（数据采集与监视控制系统）演示台，以前在那里已经向人们展示了攻击控制系统是多么的容易。加洛韦说：“以我们的经验来看，大多数像能源公司这样的基础设施提供商并没有做好应对网络攻击的准备。他们没有必要的监控工具，也没有针对他们的基础设施进行定期的检测”。

-END-

本文由网安视界（网络空间安全情报站和智库）独家创作整理，转载请注明出处。

责任编辑：