自去年年底烏克蘭電力系統被黑事件曝出后，BlackEnergy惡意軟件再次受到了廣泛關(guān)注。近日，安全研究人員更發(fā)現BlackEnergy惡意軟件的變種參與到攻擊烏克蘭礦業(yè)和鐵路系統的活動(dòng)中。
烏克蘭的礦業(yè)和鐵路系統遭受BlackEnergy惡意軟件變種的攻擊
據悉，BlackEnergy木馬軟件主要是攻擊數據采集與監控系統（SCADA）的安全，其最新變種KillDisk組件可以擦除硬盤(pán)內容，讓系統無(wú)法工作。此前，烏克蘭政府指控俄羅斯參與了導致停電事件的攻擊，雖然在進(jìn)一步分析后發(fā)現BlackEnergy惡意軟件并不直接對停電事件負責，不過(guò)也在電力系統中發(fā)現了該木馬的變種樣本。
烏克蘭電力系統中發(fā)現了該BlackEnergy木馬的變種樣本
同時(shí)，來(lái)自BlackEnergy的威脅并未消除，網(wǎng)絡(luò )安全廠(chǎng)商在近期的調查中發(fā)現烏克蘭的一家礦業(yè)公司和鐵路運營(yíng)商的系統上均出現了BlackEnergy和KillDisk的樣本。其中，該礦業(yè)公司的系統中感染了KillDisk的多個(gè)變種，而這些樣本與此前在烏克蘭電力公司系統中發(fā)現的KillDisk組件具有同樣的作用。
由于這些樣本在命名約定、控制基礎設施和攻擊時(shí)機等方面存在著(zhù)許多相似之處，因此安全研究人員認為，幕后的攻擊者與當初攻擊烏克蘭電力公司很可能是同一伙人。此外，研究人員還注意到數個(gè)樣本變種，與當初感染烏克蘭電力公司的BlackEnergy類(lèi)似，這些惡意軟件使用同樣的指揮和控制（C&C）服務(wù)器。
該安全研究團隊在近期發(fā)布的一篇博文聲稱(chēng)：“與針對烏克蘭礦業(yè)公司發(fā)動(dòng)的攻擊一樣，我們還目睹KillDisk可能被用來(lái)攻擊隸屬烏克蘭全國鐵路系統的一家大型烏克蘭鐵路公司。文件tsk.exe（SHA1： f3e41eb94c4d72a98cd743bbb02d248f510ad925）被標為是KillDisk，既用于攻擊這家鐵路公司，又用于攻擊電力公司的活動(dòng)。這似乎是烏克蘭電力公司感染造成的唯一余波。然而，我們沒(méi)有證據表明BlackEnergy出現在鐵路系統上，只能說(shuō)它可能出現在網(wǎng)絡(luò )的某個(gè)地方?！?/p>
專(zhuān)家們對這起攻擊的幾種原因進(jìn)行了闡釋?zhuān)蛔詈侠淼囊环N說(shuō)法是具有政治動(dòng)機的持續攻擊者采取的攻勢。旨在攻擊烏克蘭關(guān)鍵基礎設施，破壞該國穩定性。
該安全研究團隊負責人Kyle Wilhoit表示，“一種可能是，攻擊者可能想通過(guò)持續地破壞電力、礦業(yè)和交通運輸等設施，破壞烏克蘭的穩定性。另一種可能是，他們將惡意軟件植入到不同的關(guān)鍵基礎設施系統，確定哪一種基礎設施系統最容易被滲透，因而獲得控制權。一種相關(guān)的說(shuō)法是，礦業(yè)和鐵路公司的感染可能只是初步的感染，攻擊者只是在企圖測試代碼庫?！?/p>
然而無(wú)論是哪種情況，針對關(guān)鍵基礎設施的網(wǎng)絡(luò )攻擊都會(huì )給任何國家政府構成嚴重威脅。不過(guò)，為了應對BlackEnergy木馬的危害，如360企業(yè)安全便在2015年底開(kāi)發(fā)出了BlackEnergy木馬掃描工具，并開(kāi)始定向為國內用戶(hù)提供免費掃描服務(wù)。
因此，為了不讓烏克蘭的攻擊事件在我國上演，各行業(yè)急需將網(wǎng)絡(luò )安全防護提到日程上來(lái)，從企業(yè)內外網(wǎng)絡(luò )環(huán)境入手，提升網(wǎng)絡(luò )安全意識，并加強對惡意流量進(jìn)行檢測、實(shí)施阻斷，形成針對性的防護能力等有效措施，以保障企業(yè)網(wǎng)絡(luò )系統的安全運行。