這是世界上首個(gè)真正意義上的工控蠕蟲病毒，它能夠?qū)﹃P(guān)鍵基礎(chǔ)設(shè)施產(chǎn)生災(zāi)難性的后果，通過(guò)制造指數(shù)級(jí)增長(zhǎng)的攻擊，而且難以檢測(cè)和制止。所幸的是，它現(xiàn)在還只是個(gè)POC(概念驗(yàn)證)。

這個(gè)POC已經(jīng)被兩起獨(dú)立的研究測(cè)試證實(shí)，能夠以靜默模式實(shí)現(xiàn)端到端的攻擊。

有人會(huì)說(shuō)，震網(wǎng)不就是工控病毒嗎?話雖這樣說(shuō)，但震網(wǎng)之類的工控惡意軟件，包括“黑色能量”等是要依賴于一臺(tái)被感染的計(jì)算機(jī)才能傳播并感染PLC(可編程控制器)的，也就是說(shuō)把被感染的計(jì)算機(jī)移除即可制止病毒的傳播。

開(kāi)發(fā)出這個(gè)真正工控蠕蟲POC的兩位研究人員，Spenneberg(斯班伯格)和Brüggeman(布魯格曼)表示，該病毒可以在西門子 S7 1200 可編程控制器之間像癌癥一樣的擴(kuò)散， 并在改編之后作用于其他系統(tǒng)。而且還可以在代理鏈接中使用，作為立足點(diǎn)以進(jìn)入基礎(chǔ)設(shè)施的網(wǎng)絡(luò)系統(tǒng)。

這是第一個(gè)無(wú)需借助PC或其他系統(tǒng)，即可實(shí)現(xiàn)在PLC之間進(jìn)行傳播的蠕蟲病毒。想像一下，如果你的工控系統(tǒng)中的一臺(tái)PLC被感染，你是很難檢測(cè)到的，而且很快它就能擴(kuò)散到整個(gè)系統(tǒng)中。

“利用這個(gè)病毒，可以發(fā)起拒絕服務(wù)，停止PLC的工作等等，我們都知道這對(duì)大型工廠或關(guān)鍵基礎(chǔ)設(shè)施意味著什么。”

兩位研究人員制作了一個(gè)仿真電廠構(gòu)造來(lái)演示蠕蟲的攻擊過(guò)程。隨著蠕蟲在PLC之間的跳躍，LED燈在150毫秒的最大時(shí)間周期內(nèi)閃爍后熄滅。

更加可怕的是，這種蠕蟲攻擊還可以被PLC產(chǎn)生的電波頻率和振幅所掩蓋。

另兩位安全研究人員Bolshev和Krotofil的研究表明，攻擊者可以通過(guò)石油管道入侵遠(yuǎn)程站，判斷正常的頻率模式，然后重復(fù)用高頻率組件重復(fù)這些電波，以掩蓋攻擊破壞行為。

Bolshev使用西門子S7控制器和一個(gè)電動(dòng)機(jī)演示了攻擊過(guò)程，但他同時(shí)強(qiáng)調(diào)這個(gè)漏洞并非S7本身的問(wèn)題，而是歸究于整個(gè)系統(tǒng)架構(gòu)的設(shè)計(jì)。

“我們?cè)诳刂破魍耆恢榈那闆r下引入了一個(gè)擾亂電動(dòng)機(jī)的信號(hào)，一段時(shí)間后，電動(dòng)機(jī)就會(huì)被摧毀。這就是隱藏式的攻擊。”

應(yīng)對(duì)這種攻擊，需要替換S7中的硬件，以能夠檢測(cè)到更高的頻率，并且在作動(dòng)器(actuator)和PLC周圍安裝低通濾波器。

最近半年來(lái)發(fā)生的工控安全事件，如烏克蘭電廠，已經(jīng)證明工控安全形勢(shì)的岌岌可危，甚至個(gè)人都可以發(fā)起對(duì)關(guān)鍵基礎(chǔ)設(shè)施的毀滅性打擊。但應(yīng)對(duì)這種攻擊的成本非常之高，需要實(shí)施硬件的更新?lián)Q代，而這對(duì)于龐大陳舊的工控系統(tǒng)來(lái)說(shuō)，代價(jià)之大難以想像。

蠕蟲研究報(bào)告地址：

https://regmedia.co.uk/2016/04/29/plc_87458745.pdf