全球最大铝生产商遭lockergoga勒索软件攻击，我国工控网络该如何应对

挪威铝业公司Norsk Hydro于2019年3月19日星期二遭到勒索软件袭击。据挪威国家安全局（NSM）称，攻击者使用了LockerGoga，这是一种相对较新的勒索软件，于1月首次发现。

此次袭击导致该公司被迫关闭了几条自动化产品线，严重到足以破坏Norsk Hydro的部分生产，分析师警告，此次勒索软件攻击很有可能导致全球铝市场将面临动荡再起风险。

挪威奥斯陆的铝生产商Norsk Hydro总部警告标志

根据Recorded Future图片， LockerGoga于1月24日在罗马尼亚和后来的荷兰首次被观察到。Altran袭击事件引发了第一次重大打击，现在，挪威的Norsk Hydro也认为其基础设施受到这种勒索软件的严重破坏。

这些类型的破坏性攻击正变得越来越普遍，下面对本次的勒索软件进行简单分析：

事先强调，目前尚未知该勒索软件通过什么途径进行传播。首先该勒索软件在野版本是带有证书签名的。使用Sectigo颁发给ALISA LTD的证书签署的，以逃避杀毒软件查杀(目前证书已经撤销)

在感染过程中，LockerGoga会将其自身复制到受害系统上的％TEMP％目录并执行。

目前存在一些版本试图使用以下命令语法清除Windows事件日志：

紧接着勒索软件开始创建赎金票据并开始加密过程。

LockerGoga会加密 通常用于存储重要数据的许多常见类型的文件。如下所示：

执行时勒索软件通常会针对DOC，DOT，WBK，DOCX，DOTX，DOCB，XLM，XLSX，XLTX，XLSB，XLW，PPT，POT，PPS，PPTX，POTX，PPSX，SLDX和PDF文件。

当文件被加密时，原件被删除并替换为加密数据，加密数据存储为具有“* .LOCKED”文件扩展名的文件。

最变态的是，LockerGoga还会加密受害者回收站内的内容。

LockerGoga变种还有一个奇葩的点在于，文件是单独加密的。可见命令如下，效率低的发指。

并且勒索软件还支持参数启动，如果使用'-w'命令行参数启动勒索软件，它将以所有文件类型为目标。支持的其他开关是'-k'和'-m'，用于base 64编码和提供电子邮件地址以显示在勒索票据中。

成功感染后，LockerGoga勒索软件将赎金票据作为名为“README_LOCKED.txt”的文本文件写入受害者的桌面。

从一月份首次被发现的LockerGoga到3月份的所有变种Hash均在下面的链接中https://gist.github.com/Blevene/7b0221bd1d79bec57fb555fe3613e102#file-lockergoga-csv

从攻击时间来看，大概率是这几个样本进行了攻击

bdf36127817413f625d2625d3133760af724d6ad2410bea7297ddc116abc268f

88d149f3e47dc337695d76da52b25660e3a454768af0d7e59c913995af496a0f

c97d9bbc80b573bdeeda3812f4d00e5183493dd0d5805e2508728f65977dda15

7bcd69b3085126f7e97406889f78ab74e87230c11812b79406d723a80c08dd26

ba15c27f26265f4b063b65654e9d7c248d0d651919fafb68cb4765d1e057f93f

eda26a1cd80aac1c42cdbba9af813d9c4bc81f6052080bc33435d1e076e75aa0

需要yara进行勒索软件检测的可以参考下面链接https://pastebin.com/2wZWV4EU

那么，我们该如何保障工控系统网络安全呢？

目前来看智能化工厂安全以及设施设备保护将是制造商需要考虑的重要问题。

具体问题如下：

一、工业互联网在生产过程中会生成大量的数据，这些数据基本是从机器和组件收集而来，并且通常可以远程访问和进行分析。

而且设备互联可以让制造商从车间、供应链中获得持续的数据流，以提升整体运营的效率，但恰恰因为方便，因此带来了安全隐患。

二、随着IT和OT（运营技术）的结合渐密，工控系统因此更加容易受到攻击。

像OT的远程访问或第三方访问接口，都是黑客的攻击方向。

说到勒索软件，我们总是提起WannaCry，然而还是一而再再而三的出岔子，为何petya，badrabbit，Gandcrab，Globelmposter等这些都有成功攻击制造业的案例。经过研究发现，攻击制造业主要有几个目的：

1、修改程序来破坏生产流程，导致系统停机

2、获取私人专利数据

3、勒索钱财

4、国家级攻击

因此在工业互网时代，黑客可能恶意攻击工业控制系统以及可编程逻辑控制器，企业需要了解自身能力和系统的局限性，以形成全面的网络安全战略，从而确保数据、信息和知识产权得到正确的保护。

在前不久，我国某铝业集团也感染了挖矿病毒，其病毒由主服务、传播控制器，挖矿进程、永恒之蓝组件组成，利用MS17-010漏洞进行传播，感染目标主机，具体情况如下图：

病毒组成和感染原理

威努特应急工作人员现场病毒进程截图

该用户感染病毒后，生产系统遭到了以下危害：

1)   占用系统资源，拖慢系统

2)   信息泄露，包括配方，计划等任意文件

得到该用户的求助电话后，威努特安全应急部门立即前往做出了紧急补救措施：

1)   首先追溯病源头，并离线安装MS17-010漏洞的补丁；

2)   对其进行杀毒，阻止病毒继续传播；

3)   规划好网络边界，禁止双网卡跨区域互连，减少端口对外映射；

4)   在生产网边界处部署工业防火墙，在防火墙上关闭445端口；

5)   在生产网内安装主机卫士；

6)   在办公网边界处部署入侵检测；

通过以上措施成功的清除了病毒，在此建议企业通过以下几点完善规章制度：

首先是评估工厂的数字化过程，了解所收集和存储的数据。在更新或升级系统时，必须考虑整个数据的封装，这包括核算任何个人设备，如智能手机、平板电脑和有权访问网络的笔记本电脑。

其次，制造企业必须采取主动的网络安全措施。这包括安装有效的防火墙，进行网络监控等等。通过密切关注网络中的活动，将任何不寻常的活动标记为可疑，帮助更快地发现风险。

还有，公司应该考虑分割不同部门的网络，除非必要的情况下开放权限，其它不必要的就限制对网络的访问。因为连接点越多，风险就越大，所以分段网络可以限制数据泄露时的损害。

下面给予一些标准，仅供工业系统企业参考

一、安全软件选择与管理

（一）在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件，只允许经过工业企业自身授权和安全评估的软件运行。

（二）建立防病毒和恶意软件入侵管理机制，对工业控制系统及临时接入的设备采取病毒查杀等安全预防措施。

二、配置和补丁管理

（一）做好工业控制网络、工业主机和工业控制设备的安全配置，建立工业控制系统配置清单，定期进行配置审计。

（二）对重大配置变更制定变更计划并进行影响分析，配置变更实施前进行严格安全测试。

（三）密切关注重大工控安全漏洞及其补丁发布，及时采取补丁升级措施。在补丁安装前，需对补丁进行严格的安全评估和测试验证。

三、 边界安全防护

（一）分离工业控制系统的开发、测试和生产环境。

（二）通过工业控制网络边界防护设备对工业控制网络与企业网或互联网之间的边界进行安全防护，禁止没有防护的工业控制网络与互联网连接。

（三）通过工业防火墙、网闸等防护设备对工业控制网络安全区域之间进行逻辑隔离安全防护。

四、物理和环境安全防护

（一）对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施。

（二）拆除或封闭工业主机上不必要的USB、光驱、无线等接口。若确需使用，通过主机外设安全管理技术手段实施严格访问控制。

五、身份认证

（一）在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理。对于关键设备、系统和平台的访问采用多因素认证。

（二）合理分类设置账户权限，以最小特权原则分配账户权限。

（三）强化工业控制设备、SCADA软件、工业通信设备等的登录账户及密码，避免使用默认口令或弱口令,定期更新口令。

（四）加强对身份认证证书信息保护力度，禁止在不同系统和网络环境下共享。

六、远程访问安全

（一）原则上严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络服务。

（二）确需远程访问的，采用数据单向访问控制等策略进行安全加固，对访问时限进行控制，并采用加标锁定策略。

（三）确需远程维护的，采用虚拟专用网络（VPN）等远程接入方式进行。

（四）保留工业控制系统的相关访问日志，并对操作过程进行安全审计。

七、安全监测和应急预案演练

（一）在工业控制网络部署网络安全监测设备，及时发现、报告并处理网络攻击或异常行为。

（二）在重要工业控制设备前端部署具备工业协议深度包检测功能的防护设备，限制违法操作。

（三）制定工控安全事件应急响应预案，当遭受安全威胁导致工业控制系统出现异常或故障时，应立即采取紧急防护措施，防止事态扩大，并逐级报送直至属地省级工业和信息化主管部门，同时注意保护现场，以便进行调查取证。

（四）定期对工业控制系统的应急响应预案进行演练，必要时对应急响应预案进行修订。

八、资产安全

（一）建设工业控制系统资产清单，明确资产责任人，以及资产使用及处置规则。

（二）对关键主机设备、网络设备、控制组件等进行冗余配置。

九、数据安全

（一）对静态存储和动态传输过程中的重要工业数据进行保护，根据风险评估结果对数据信息进行分级分类管理。

（二）定期备份关键业务数据。

（三）对测试数据进行保护。

十、供应链管理

（一）在选择工业控制系统规划、设计、建设、运维或评估等服务商时，优先考虑具备工控安全防护经验的企事业单位，以合同等方式明确服务商应承担的信息安全责任和义务。

（二）以保密协议的方式要求服务商做好保密工作，防范敏感信息外泄。

十一、落实责任

通过建立工控安全管理机制、成立信息安全协调小组等方式，明确工控安全管理责任人，落实工控安全责任制，部署工控安全防护措施。

前有委内瑞拉电厂停电，后有挪威铝厂被勒索，这些事件及时的给我们敲响警钟，我们必须以保障业务运行的连续性和可靠性要求为基本前提，做到动态监测、安全态势感知、主动防御、应急保障，对国家关键基础设施进行有效安全防护。

关乎国家安全，刻不容缓！

来源丨黑鸟（ID：blackorbird）

作者丨黑鸟

威努特简介

北京威努特技术有限公司（以下简称”威努特”），成立于2014年，是国内首家专注于工控安全领域的国家高新技术企业，全球仅六家荣获国际自动化协会安全合规学会认证的企业之一，多次入选中国网络安全企业50强。

威努特以率先独创的“白环境”整体解决方案为核心研发了覆盖工控网络安全的4大类19款自主可控产品，迄今以领先的核心技术壁垒及市场优势成功为电力、石油石化、轨道交通、市政、烟草、智能制造、航空航天及军工等五百余家国家重点行业客户提供了全面有效的安全保障，并曾受邀为中共十九大、两会、一带一路、G20等多项重大政事活动进行网络安保工作，积极参与国家和行业标准制定，得到了客户和国家多个政府部门的高度认可。

威努特始终以保护我国关键基础设施网络空间安全为己任，为“中国制造2025”保驾护航，为建设网络强国添砖加瓦！

威努特工控安全

专注工控·捍卫安全