谁在攻击印度核电厂？后果很严重吗？

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

印度核电力公司 (NPCIL) 称，印度其中一个核电厂的网络遭恶意软件感染，该恶意软件源自朝鲜国家黑客。

最近几天，推特上都在疯传一个消息称，库丹库拉姆核电厂 (KNPP) 可能遭危险的恶意软件感染。印度国家技术研究所 (NTRO) 的一名前安全分析师Pukhraj Singh指出，最近从 VirusTotal 发现一份上传文件实际上和 KNPP 遭受的恶意软件感染相关。这款恶意软件样本包括 KNPP 内部网络的硬编码凭证，表明该恶意软件专门编译用于传播并在该核电厂 IT 网络中运行。

被指和朝鲜 LAZARUS 组织有关

多名安全研究员指出该恶意软件是 Dtrack 的一个版本。Dtrack据称是由朝鲜精英黑客团队 Lazarus Group 开发的一款后门木马。

Singh 的推特言论立即被疯传，因为就在几天前这家核电厂突然关闭了其中一个反应堆，很多用户将这两起事件混为一谈。

起初，KNPP 官员否认遭任何恶意软件感染，并发布声明称Singh 的推特言论“子虚乌有”，而且表示核电厂“不可能”遭受网络攻击。而现在 KNPP 母公司NPCIL 另发声明称攻击属实，“NPCIL 系统中发现恶意软件的言论是正确的”。

NPCIL 表示该恶意软件仅影响管理员网络，并未触及关键的内部网络即用于控制核电厂核反应堆的网络。NPCIL 表示这两个网络是分离的。另外，该公司证实了 Singh 在推特上的言论，表示他们在9月4日收到印度 CERT 发出的通知，当时恶意软件刚被检测到，并指出当时收到报告后就启动调查。

严重吗？

俄罗斯杀毒厂商卡巴斯基分析 Dtrack 恶意软件后表示，这款木马包含如下功能：

• 键盘记录器
• 检索浏览器历史
• 收集主机 IP 地址以及关于可用网络和活跃连接的信息
• 列出所有正在运行的进程
• 列出所有可用磁盘空间中的文件

从这些功能中可看出，Dtrack 通常用于侦察目的以及作为其它恶意软件 payload 的释放器。

此前的Dtrack 样本通常出现在受政治利益驱动的网络间谍行动以及银行攻击中，上个月曾发现了 Dtrack 的自定义版本AMTDtrack。

此前，不论是 LazarusGroup 还是朝鲜的其它黑客组织很少追逐能源和工业目标。如果瞄准这些目标的话一般是为了专利知识产权，而非蓄意破坏。

朝鲜黑客的多数目的是为了获取外交情报、追踪逃离朝鲜的朝鲜公民或者入侵银行和密币交易所为政府开展的武器和导弹计划集资。

KNPP 事件更像是一次偶然的感染事件而非精心策划的操作。卡巴斯基上个月发布报告称 Lazarus Group 一直都在印度传播 Dtrackhe  AMDtrack 版本，目标是金融机构，这一说法更佐证了偶然性。

推荐阅读

原文链接

https://www.zdnet.com/article/confirmed-north-korean-malware-found-on-indian-nuclear-plants-network/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点，转载请注明“转自奇安信代码卫士 www.codesafe.cn”

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。