這是世界上首個真正意義上的工控蠕蟲病毒，它能夠?qū)﹃P(guān)鍵基礎(chǔ)設(shè)施產(chǎn)生災(zāi)難性的后果，通過制造指數(shù)級增長的攻擊，而且難以檢測和制止。所幸的是，它現(xiàn)在還只是個POC(概念驗(yàn)證)。

這個POC已經(jīng)被兩起獨(dú)立的研究測試證實(shí)，能夠以靜默模式實(shí)現(xiàn)端到端的攻擊。

有人會說，震網(wǎng)不就是工控病毒嗎?話雖這樣說，但震網(wǎng)之類的工控惡意軟件，包括“黑色能量”等是要依賴于一臺被感染的計算機(jī)才能傳播并感染PLC(可編程控制器)的，也就是說把被感染的計算機(jī)移除即可制止病毒的傳播。

開發(fā)出這個真正工控蠕蟲POC的兩位研究人員，Spenneberg(斯班伯格)和Brüggeman(布魯格曼)表示，該病毒可以在西門子 S7 1200 可編程控制器之間像癌癥一樣的擴(kuò)散， 并在改編之后作用于其他系統(tǒng)。而且還可以在代理鏈接中使用，作為立足點(diǎn)以進(jìn)入基礎(chǔ)設(shè)施的網(wǎng)絡(luò)系統(tǒng)。

這是第一個無需借助PC或其他系統(tǒng)，即可實(shí)現(xiàn)在PLC之間進(jìn)行傳播的蠕蟲病毒。想像一下，如果你的工控系統(tǒng)中的一臺PLC被感染，你是很難檢測到的，而且很快它就能擴(kuò)散到整個系統(tǒng)中。

“利用這個病毒，可以發(fā)起拒絕服務(wù)，停止PLC的工作等等，我們都知道這對大型工廠或關(guān)鍵基礎(chǔ)設(shè)施意味著什么。”

兩位研究人員制作了一個仿真電廠構(gòu)造來演示蠕蟲的攻擊過程。隨著蠕蟲在PLC之間的跳躍，LED燈在150毫秒的最大時間周期內(nèi)閃爍后熄滅。

更加可怕的是，這種蠕蟲攻擊還可以被PLC產(chǎn)生的電波頻率和振幅所掩蓋。

另兩位安全研究人員Bolshev和Krotofil的研究表明，攻擊者可以通過石油管道入侵遠(yuǎn)程站，判斷正常的頻率模式，然后重復(fù)用高頻率組件重復(fù)這些電波，以掩蓋攻擊破壞行為。

Bolshev使用西門子S7控制器和一個電動機(jī)演示了攻擊過程，但他同時強(qiáng)調(diào)這個漏洞并非S7本身的問題，而是歸究于整個系統(tǒng)架構(gòu)的設(shè)計。

“我們在控制器完全不知情的情況下引入了一個擾亂電動機(jī)的信號，一段時間后，電動機(jī)就會被摧毀。這就是隱藏式的攻擊。”

應(yīng)對這種攻擊，需要替換S7中的硬件，以能夠檢測到更高的頻率，并且在作動器(actuator)和PLC周圍安裝低通濾波器。

最近半年來發(fā)生的工控安全事件，如烏克蘭電廠，已經(jīng)證明工控安全形勢的岌岌可危，甚至個人都可以發(fā)起對關(guān)鍵基礎(chǔ)設(shè)施的毀滅性打擊。但應(yīng)對這種攻擊的成本非常之高，需要實(shí)施硬件的更新?lián)Q代，而這對于龐大陳舊的工控系統(tǒng)來說，代價之大難以想像。

蠕蟲研究報告地址：

https://regmedia.co.uk/2016/04/29/plc_87458745.pdf