美國(guó)國(guó)土安全部發(fā)布預(yù)警:惡意軟件HatMan、Triton 針對(duì)工控系統(tǒng)展開攻擊

責(zé)任編輯:editor005

2017-12-21 14:33:56

摘自:E安全

美國(guó)國(guó)土安全部(DHS)研究人員于近期在調(diào)查時(shí)發(fā)現(xiàn)另一新型惡意軟件HatMan,旨在針對(duì)國(guó)家工業(yè)控制系統(tǒng)(ICS)展開攻擊活動(dòng)。施耐德電氣的 Triconex 安全檢測(cè)系統(tǒng)(SIS)控制器主要用于核電站

美國(guó)國(guó)土安全部研究人員于近期在調(diào)查時(shí)發(fā)現(xiàn)另一新型惡意軟件HatMan,旨在針對(duì)國(guó)家工業(yè)控制系統(tǒng)展開攻擊活動(dòng)。隨后,國(guó)家網(wǎng)絡(luò)安全與通信集成中心在本周一發(fā)布的惡意軟件分析報(bào)告中提供了緩解措施與 YARA 規(guī)則,以便減少國(guó)家工控系統(tǒng)的損失。

調(diào)查顯示,基于 Python 編寫的 HatMan 惡意軟件主要以施耐德電氣的 Triconex 安全儀表系統(tǒng)(SIS)控制器為目標(biāo),旨在監(jiān)控流程并將其恢復(fù)到安全狀態(tài)或在發(fā)現(xiàn)潛在危險(xiǎn)情況時(shí)執(zhí)行安全關(guān)閉。此外,HatMan 還通過(guò)專有的 TriStation 協(xié)議與 SIS 控制器進(jìn)行通信,并允許攻擊者通過(guò)添加新的梯形圖邏輯操縱設(shè)備。然而,由于黑客在觸發(fā) SIS 控制器啟動(dòng) “安全關(guān)閉” 功能后終止了操作,因此FireEye 專家推測(cè)攻擊者可能是在偵查階段無(wú)意觸發(fā)了控制器,其最終目標(biāo)可能只是針對(duì) SIS 造成高強(qiáng)度的物理傷害感興趣。

施耐德電氣的 Triconex 安全檢測(cè)系統(tǒng)(SIS)控制器主要用于核電站、煉油、石化、化工和其它過(guò)程工業(yè)的安全和關(guān)鍵單元提供連續(xù)的安全連鎖和保護(hù)、工藝監(jiān)視,并在必要時(shí)安全停車。

hatman

值得注意的是,NCCIC 在其報(bào)告中指出,該惡意軟件主要有兩部分組件:一部分是在受損的 PC 端運(yùn)行后與安全控制器交互,另一塊是在控制器上直接運(yùn)行。研究人員表示,雖然 HatMan 本身并沒(méi)有做任何危險(xiǎn)動(dòng)作,且被降級(jí)的基礎(chǔ)設(shè)施安全系統(tǒng)也不會(huì)直接操作整個(gè)控制流程,但倘若存在漏洞的安全系統(tǒng)遭到惡意軟件感染則可能會(huì)造成極大危害。另外,可以肯定的是,雖然 HatMan 今后可能會(huì)成為監(jiān)控 ICS 的重要工具,但它或許只會(huì)被用來(lái)影響工業(yè)生產(chǎn)流程或者其他危險(xiǎn)操作??偠灾瑦阂廛浖胁煌M件的構(gòu)建意味著攻擊者需要對(duì) ICS 環(huán)境(特別是對(duì) Triconex 控制器)極其熟悉,以及它需要較長(zhǎng)的開發(fā)周期來(lái)完善這類高級(jí)攻擊手法。

施耐德電氣已對(duì)此事件展開調(diào)查。官方表示目前沒(méi)有證據(jù)表明該惡意軟件利用了產(chǎn)品中的任何漏洞。但安全專家還是建議客戶切勿輕易將設(shè)備置于 “Program” 模式,因?yàn)楫?dāng)控制器設(shè)置為此“Program” 模式時(shí)攻擊者就可能通過(guò)惡意軟件傳送 payload。

國(guó)家安全局局長(zhǎng) Emily S. Miller 表示:“ 攻擊者有能力訪問(wèn)關(guān)鍵基礎(chǔ)設(shè)施的安全儀器設(shè)備,并極有可能針對(duì)設(shè)備固件進(jìn)行潛在更改,因此這一提醒給予關(guān)鍵基礎(chǔ)設(shè)施的所有者與經(jīng)營(yíng)者莫大的警示。”

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)