在2022年，針對工業基礎設施的網絡攻擊越來越復雜，數量也越來越多。研究發現，采用一個模塊化惡意軟件工具包，就能夠針對不同行業垂直領域的數萬個工業控制系統(ICS)進行攻擊。與此同時，Dragos公司發布的事件響應報告表明，80%受影響的環境缺乏對工業控制系統(ICS)流量的可見性，一半的環境存在網絡分段問題，其OT網絡的外部連接不受控制。

Dragos公司的研究人員在一份最新發布的年度報告中說:“Dragos公司追蹤的許多威脅在未來可能會演變出顛覆性和破壞性的能力，因為網絡威脅行為者通常會進行廣泛的研究和開發，并隨著時間的推移實施他們的程序和活動，這項研發為他們未來的活動提供了信息，并最終提高了他們的破壞能力。”

跟蹤活躍的ICS威脅團伙

自從2020年以來，Dragos公司一直在跟蹤20個針對工業基礎設施攻擊的威脅組織和團伙。在這些團伙中，有8個在去年比較活躍，其中包括被Dragos公司命名為Chernovite和Bentonite的新團伙。

在這兩個團伙中，Chernovite表現比較突出，展示了ICS網絡殺傷鏈第一階段和第二階段的各個方面：第一階段是初始入侵和偵察活動，允許網絡攻擊者收集有關運營技術(OT)環境的信息，幫助他們開發針對特定ICS實施的能力。第二階段是將第一階段收集的信息實現武器化，并發展實際影響ICS的能力。

Chernovite是一個高度復雜的惡意軟件平臺的幕后黑手，該平臺能夠攻擊Dragos稱之為Piperdream的工業控制系統，網絡安全服務商Mandiant公司將其稱為Incontroller。該惡意軟件在2022年初被發現，據悉是由政府支持開發的。Dragos公司沒有進行攻擊歸因評估，Mandiant公司指出，這符合某國對攻擊ICS的興趣，但其證據是間接的。

Dragos公司的首席執行官兼聯合創始人Robert M.Lee在新聞發布會上表示，Piperdream或Incontroller在被“使用”之前就被發現了，這意味著雖然攻擊者沒有發動攻擊，但已經非常接近。在他看來，惡意軟件沒有得到應有的關注，可能是因為在造成損害之前就被發現了，但它具有非常有效的破壞性和破壞能力，可能是有史以來最接近讓美國和歐洲基礎設施中斷運營的攻擊。

他說,“我不想炒作任何事情，因為并沒有基礎設施遭到更大的攻擊，所以有些事情沒有發生，但我認為人們不明白它離發生有多近。”

據悉，Chernovite團伙的目標是十幾個關鍵的電力和液體天然氣站，但惡意軟件的攻擊絕不局限于這些行業。事實上，Pipedream是有史以來第一個利用一些最廣泛的ICS協議中的原生功能的ICS惡意軟件，包括施耐德電氣、歐姆龍、CODESYS PLC以及支持OPC統一架構(OPC UA)標準的任何PLC所使用的協議。

換句話說，任何基礎設施運營商可以通過這些協議做的事情，惡意軟件都可以做。Lee表示，在某種程度上，它比任何特定供應商的工程工作站軟件更令人印象深刻，因為該軟件只能與特定供應商的PLC一起工作，但Pipedream可以與所有這些軟件一起工作。

Lee說，“這令人印象深刻，所以，它最初的設計目標是15種特定類型的設備，但目前它可以在社區中部署的數千個不同的控制器和設備、數百個不同的供應商以及幾乎所有行業中運行。”

最糟糕的是，這些漏洞沒有可以修補的補丁，因為它幾乎都是原生功能。Dragos表示將會看到這種惡意軟件再次部署，并且沒有簡單的解決辦法，那些只關注預防而不做檢測和應對的企業，幾乎無法對抗這種攻擊。

Lee說，“全球大約5%的基礎設施正在受到監控。我們所有的努力都是為了防止網絡攻擊，我想說的是，雖然受到監控的基礎設施比例較小，我們仍然發現了一些相當可怕的事情。”

Bentonite團伙在2022年被發現，目前該團伙只顯示了第一階段的能力，其主要目標是制造業和石油天然氣行業，但它選擇的受害者似乎是隨機的，利用他們發現的任何對外暴露的遠程訪問連接或利用互聯網資產。該團伙植入的惡意軟件并不引人注目。然而Dragos公司警告說，該團伙很狡猾，其收集的信息將允許它在未來進入OT網絡，例如工業設備圖或物理過程的數據。

另一個在2022年仍然活躍的網絡威脅團伙是Kostovite，這是一個最初在2021年發現的群體，已經證明了進行橫向移動并到達OT和ICS網絡的能力。它通常利用企業外圍環境，并可以使用零日漏洞。有證據表明，它的目標可能與APT5有一些重疊。

Kamacite和Electrum是兩個繼續實施攻擊活動的ICS威脅團伙，并與Sandworm有關，Sandworm被認為是某國軍事情報機構(GRU)的一個單位。Sandword使用NotPetya惡意軟件進行了破壞性攻擊，使用BlackEngery和Industrierr惡意軟件程序對烏克蘭電網進行了多次攻擊。Kamacite通過一個名為“Cyclops Blink a”的植入物獲得對網絡的初始訪問權，然后將該訪問權傳遞給Electrum，后者通常負責造成破壞性影響。Kamacite攻擊的目標包括歐洲、烏克蘭和美國的基礎設施。

Xenomite是另一個仍然活躍的ICS威脅團伙，主要專注于針對中東和美國的電力、石油和天然氣公司進行破壞，其目標似乎經過精心挑選，并且它們之間存在聯系。這表明，該集團從非公開來源對石油和天然氣行業有細致入微的了解，從而能夠確定壓力點。

Xenomite是開發Triton軟件的團伙，Triton是一個惡意軟件框架，2017年使沙特阿拉伯的一家公司正在使用的Trisis儀器安全系統(SIS)失效。這使得Xenomite成為有動機和能力摧毀關鍵基礎設施的團體之一。

Erythrite是ICS網絡殺傷鏈第一階段的威脅團伙，該團伙使用不太復雜的技術，例如搜索引擎優化(SEO)中毒和自定義惡意軟件。該團伙的重點是數據和證書盜竊，但其大規模活動，尤其是針對制造業的活動令人擔憂。它的目標包括約20%的財富500強公司，大部分位于美國和加拿大。Dragos說，對于IT和OT之間網絡分段較差的企業來說，該團伙是一個特別大的威脅。

最后，Wassonite是一個處在第一階段的團伙，專注于攻擊來自南亞和東亞的核能、電力、石油和天然氣、先進制造業、制藥和航空航天行業。該團伙使用DTrack和AppleSeed遠程訪問木馬，這些木馬通過為特定行業和組織定制的魚叉式網絡釣魚誘餌分發。

除了這些企業的有針對性的威脅之外，Dragos還指出，去年針對工業組織的勒索軟件攻擊增加了87%，其中制造業是受影響最大的行業。LockBit的攻擊次數最多，其次是現在已經解散的Conti ransomware、BlackBasta和Hive。

ICS漏洞和盲點

與2021年相比，專門針對ICS相關硬件和軟件的漏洞數量增加了27%，但這并不能反映全局，因為并非所有漏洞數量增長都是相同的，尤其是在ICS領域。

因此，Dragos公司對這些漏洞進行了更深入的風險評估，發現15%的漏洞位于企業網絡的設備中，85%位于ICS網絡深處。此外，一半漏洞沒有導致能見度或控制力的喪失。更大的問題是，在打補丁經常涉及關閉運營和關鍵設備的行業，資產所有者嚴重依賴于緩解措施，而在提供補丁的70%的供應商中，51%的供應商表示沒有包含任何緩解措施。另有30%表示沒有補丁，16%表示沒有實際的緩解措施。

在34%的供應商中，Dragos公司發現了錯誤的數據，例如錯誤的軟件編號、錯誤的硬件型號、錯誤的版本等等。該公司評估，在70%的情況下，嚴重程度評分應該高于供應商指定的評分，30%的情況下低于供應商指定的評分。

好消息是，根據Dragos公司的風險評估，將漏洞分為立即修補、下一個周期修補和不應該關注三種，只有2%屬于立即修補類別。另外95%的漏洞可以推遲到下一個周期修補，并通過網絡分段、監控和多因素身份驗證來緩解。3%的漏洞的作用或者被夸大，或者完全錯誤，屬于最后一類。

根據該公司進行的安全評估，最常見的問題是ICS環境中缺乏可見性，80%的客戶的OT可見性有限。然而，2022年比前一年下降了6%，因此有所改善。一半的客戶存在網絡分段問題，下降了27%。53%的客戶有未公開或不受控制的OT網絡連接，與2021年相比下降了17%。整個行業的情況仍然不太好，而且有一個領域似乎正在變得更糟，那就是IT和OT之間缺乏用戶管理分離，54%的企業存在這種情況，與2021年相比增加了10%。

Lee說:“這是我們在大量勒索軟件案例中看到的事情之一，勒索軟件參與者的目標是IT網絡，通過Active Directory域控制器傳播勒索軟件，然后進入運營網絡，即使它不是他們通過共享憑證的目標。”

最令人擔憂的發現之一是，80%的被評估客戶仍然沒有對其ICS系統的可見性，80%的企業相對成熟，并接受Dragos等網絡安全服務商的服務。事實上，這個數字可能更高。

Lee說，“如果企業不知道自己有什么，就不知道自己有多少資產，它們是如何連接的，誰在連接它們，以及任何類型的檢測。企業永遠不會得到根本原因分析，或了解哪里出了問題，或能夠發現對手。平均而言，80%以上的企業根本無法做到這一點，當談論關鍵基礎設施和管道時，這顯然是一個令人擔憂的問題。”