伪装成西门子固件的恶意软件钻入10家工厂

安全公司Dragos宣称：该恶意软件已经活跃4年了。

[[187326]]

伪装成西门子控制设备合法固件的恶意软件，显然在过去4年中已经感染了全球范围内的多种工业设备。

该恶意软件被打包成安装在西门子可编程逻辑控制器(PLC)上软件的样子。工业网络安全公司Dragos宣称，至少10家工厂(其中7家位于美国)中招。

据这家位于得克萨斯州的公司透露，该恶意软件专门针对工业控制设备。虽然被描述为“犯罪软件”，其具体动作却没做详细解释。

2013年起，美国一个ICS机构就提交了西门子PLC控制软件的样本。最开始，各家杀软厂商都将其标为误报，但最终呈现出来的确是实实在在的恶意软件。我们的调查中发现：过去4年中，该恶意软件围绕西门子所做变种翻了10倍，最近一次该恶意软件标记是在2017年3月。

简言之，这4年里，一直有黑客尝试将恶意软件伪装成西门子控制软件来感染工业环境。该恶意软件就是个犯罪软件，而且看起来相当有效。

恶意软件可被分为普通广告软件和植入PC的银行木马。Dragos保守估计，每年约有3000家工厂被传统恶意软件感染，大多为被员工用已感染的U盘带进来的机会性木马，比如Sivis、Ramnit和Virut。

工控安全专家 Nozomi Networks 首席执行官埃德加·卡普蒂威乐称：“主打ICS恶意软件的存在一点不让人意外，但值得关注。事实是，今天的ICS网络面临的安全挑战，与其他IT网络相同，但却比其他IT网络缺少类似的安全选择。”

ICS设计之初就是完全隔离，且限于物理边界之内的。然而，新IP地址不断凿穿信息技术(IT)和运用技术(OT)之间的隔离墙。随着IT连接的建立，很难再将放出来的恶魔再塞回魔盒，每一条通道，都是可以被黑客挖掘而入或被恶意软件从内部引爆的潜在弱点。

空客防御与空间网络安全网络顾问部主管安德鲁·库克补充道：很多工业系统中都有恶意软件的身影，并由被感染U盘或非授权远程访问传播。尽管这些系统里面发现的恶意软件大部分都很低端，但却仍能成为相关公司的严重安全风险。高级攻击者常用这些方法获取某些系统操作、配置和运行的宝贵情报。