本文目录一览：

• 1、震网病毒的深度分析
• 2、电脑病毒可以对核电站水电站进行攻击吗
• 3、为什么黑客想要毁掉工业4.0
• 4、通过电脑病毒甚至可以对核电站水电站进行攻击，这是真的么？
• 5、闪电真的可以保护电网免造黑客入侵吗？
• 6、间谍要核电站资料能干嘛

震网病毒的深度分析

2010年10月，国内外多家媒体相继报道了Stuxnet蠕虫对西门子公司的数据采集与监控系统SIMATIC WinCC进行攻击的事件，称其为“超级病毒”、“超级工厂病毒”，并形容成“超级武器”、“潘多拉的魔盒”。

Stuxnet蠕虫（俗称“震网”、“双子”）在2010年7月开始爆发。它利用了微软操作系统中至少4个漏洞，其中有3个全新的零日漏洞；伪造驱动程序的数字签名；通过一套完整的入侵和传播流程，突破工业专用局域网的物理限制；利用WinCC系统的2个漏洞，对其开展破坏性攻击。它是第一个直接破坏现实世界中工业基础设施的恶意代码。据赛门铁克公司的统计，截止到2010年09月全球已有约45000个网络被该蠕虫感染， 其中60%的受害主机位于伊朗境内。伊朗政府已经确认该国的布什尔核电站遭到Stuxnet蠕虫的攻击。

安天实验室于7月15日捕获到Stuxnet蠕虫的第一个变种，在第一时间展开分析，发布了分析报告及防范措施，并对其持续跟踪。截止至本报告发布，安天已经累计捕获13个变种、600多个不同哈希值的样本实体。 2.1 运行环境

Stuxnet蠕虫在以下操作系统中可以激活运行： Windows 2000、Windows Server 2000 Windows XP、Windows Server 2003 Windows Vista Windows 7、Windows Server 2008 当它发现自己运行在非Windows NT系列操作系统中，即刻退出。

被攻击的软件系统包括： SIMATIC WinCC 7.0 SIMATIC WinCC 6.2 但不排除其他版本存在这一问题的可能。

2.2 本地行为

样本被激活后，典型的运行流程如图1 所示。

样本首先判断当前操作系统类型，如果是Windows 9X/ME，就直接退出。

接下来加载一个主要的DLL模块，后续的行为都将在这个DLL中进行。为了躲避查杀，样本并不将DLL模块释放为磁盘文件然后加载，而是直接拷贝到内存中，然后模拟DLL的加载过程。

具体而言，样本先申请足够的内存空间，然后Hookntdll.dll导出的6个系统函数： ZwMapViewOfSection ZwCreateSection ZwOpenFile ZwClose ZwQueryAttributesFile ZwQuerySection 为此，样本先修改ntdll.dll文件内存映像中PE头的保护属性，然后将偏移0x40处的无用数据改写为跳转代码，用以实现hook。

进而，样本就可以使用ZwCreateSection在内存空间中创建一个新的PE节，并将要加载的DLL模块拷贝到其中，最后使用LoadLibraryW来获取模块句柄。

图1 样本的典型运行流程

此后，样本跳转到被加载的DLL中执行，衍生下列文件：

%System32%\drivers\mrxcls.sys %System32%\drivers\mrxnet.sys%Windir%\inf\oem7A.PNF%Windir%\inf\mdmeric3.PNF %Windir%\inf\mdmcpq3.PNF%Windir%\inf\oem6C.PNF 　其中有两个驱动程序mrxcls.sys和mrxnet.sys，分别被注册成名为MRXCLS和MRXNET的系统服务，实现开机自启动。这两个驱动程序都使用了Rootkit技术，并有数字签名。

mrxcls.sys负责查找主机中安装的WinCC系统，并进行攻击。具体地说，它监控系统进程的镜像加载操作，将存储在%Windir%\inf\oem7A.PNF中的一个模块注入到services.exe、S7tgtopx.exe、CCProjectMgr.exe三个进程中，后两者是WinCC系统运行时的进程。

mrxnet.sys通过修改一些内核调用来隐藏被拷贝到U盘的lnk文件和DLL文件（图2 ）。

图2驱动程序隐藏某些lnk文件

图3 样本的多种传播方式

2.3 传播方式　Stuxnet蠕虫的攻击目标是SIMATIC WinCC软件。后者主要用于工业控制系统的数据采集与监控，一般部署在专用的内部局域网中，并与外部互联网实行物理上的隔离。为了实现攻击，Stuxnet蠕虫采取多种手段进行渗透和传播，如图3所示。

整体的传播思路是：首先感染外部主机；然后感染U盘，利用快捷方式文件解析漏洞，传播到内部网络；在内网中，通过快捷方式解析漏洞、RPC远程执行漏洞、打印机后台程序服务漏洞，实现联网主机之间的传播；最后抵达安装了WinCC软件的主机，展开攻击。

2.3.1. 快捷方式文件解析漏洞（MS10-046）

这个漏洞利用Windows在解析快捷方式文件（例如.lnk文件）时的系统机制缺陷，使系统加载攻击者指定的DLL文件，从而触发攻击行为。具体而言，Windows在显示快捷方式文件时，会根据文件中的信息寻找它所需的图标资源，并将其作为文件的图标展现给用户。如果图标资源在一个DLL文件中，系统就会加载这个DLL文件。攻击者可以构造这样一个快捷方式文件，使系统加载指定的DLL文件，从而执行其中的恶意代码。快捷方式文件的显示是系统自动执行，无需用户交互，因此漏洞的利用效果很好。

Stuxnet蠕虫搜索计算机中的可移动存储设备（图4）。一旦发现，就将快捷方式文件和DLL文件拷贝到其中（图5）。如果用户将这个设备再插入到内部网络中的计算机上使用，就会触发漏洞，从而实现所谓的“摆渡”攻击，即利用移动存储设备对物理隔离网络的渗入。

图4 查找U盘

拷贝到U盘的DLL文件有两个：~wtr4132.tmp和~wtr4141.tmp。后者Hook了kernel32.dll和ntdll.dll中的下列导出函数：

FindFirstFileW FindNextFileW FindFirstFileExWNtQueryDirectoryFile ZwQueryDirectoryFile 实现对U盘中lnk文件和DLL文件的隐藏。因此，Stuxnet一共使用了两种措施（内核态驱动程序、用户态Hook API）来实现对U盘文件的隐藏，使攻击过程很难被用户发觉，也能一定程度上躲避杀毒软件的扫描。

图5 拷贝文件到U盘

2.3.2. RPC远程执行漏洞（MS08-067）与提升权限漏洞

这是2008年爆发的最严重的一个微软操作系统漏洞，具有利用简单、波及范围广、危害程度高等特点。

图6 发动RPC攻击

具体而言，存在此漏洞的系统收到精心构造的RPC请求时，可能允许远程执行代码。在Windows 2000、Windows XP和Windows Server 2003系统中，利用这一漏洞，攻击者可以通过恶意构造的网络包直接发起攻击，无需通过认证地运行任意代码，并且获取完整的权限。因此该漏洞常被蠕虫用于大规模的传播和攻击。

Stuxnet蠕虫利用这个漏洞实现在内部局域网中的传播（图6）。利用这一漏洞时，如果权限不够导致失败，还会使用一个尚未公开的漏洞来提升自身权限（图1），然后再次尝试攻击。截止本报告发布，微软尚未给出该提权漏洞的解决方案。

2.3.3. 打印机后台程序服务漏洞（MS10-061）

这是一个零日漏洞，首先发现于Stuxnet蠕虫中。

Windows打印后台程序没有合理地设置用户权限。攻击者可以通过提交精心构造的打印请求，将文件发送到暴露了打印后台程序接口的主机的%System32%目录中。成功利用这个漏洞可以以系统权限执行任意代码，从而实现传播和攻击。

图7 利用打印服务漏洞

Stuxnet蠕虫利用这个漏洞实现在内部局域网中的传播。如图7所示，它向目标主机发送两个文件：winsta.exe、sysnullevnt.mof。后者是微软的一种托管对象格式（MOF）文件，在一些特定事件驱动下，它将驱使winsta.exe被执行。

2.3.4.内核模式驱动程序（MS10-073）

2.3.5.任务计划程序漏洞（MS10-092）

2.4 攻击行为

Stuxnet蠕虫查询两个注册表键来判断主机中是否安装WinCC系统（图8）：

HKLM\SOFTWARE\SIEMENS\WinCC\Setup

HKLM\SOFTWARE\SIEMENS\STEP7

图8 查询注册表，判断是否安装WinCC

一旦发现WinCC系统，就利用其中的两个漏洞展开攻击：

一是WinCC系统中存在一个硬编码漏洞，保存了访问数据库的默认账户名和密码，Stuxnet利用这一漏洞尝试访问该系统的SQL数据库（图9）。

二是在WinCC需要使用的Step7工程中，在打开工程文件时，存在DLL加载策略上的缺陷，从而导致一种类似于“DLL预加载攻击”的利用方式。最终，Stuxnet通过替换Step7软件中的s7otbxdx.dll，实现对一些查询、读取函数的Hook。

图9 查询WinCC的数据库

2.5 样本文件的衍生关系

本节综合介绍样本在上述复制、传播、攻击过程中，各文件的衍生关系。

如图10所示。样本的来源有多种可能。

对原始样本、通过RPC漏洞或打印服务漏洞传播的样本，都是exe文件，它在自己的.stud节中隐形加载模块，名为“kernel32.dll.aslr.随机数字.dll”。

对U盘传播的样本，当系统显示快捷方式文件时触发漏洞，加载~wtr4141.tmp文件，后者加载一个名为“shell32.dll.aslr.随机数字.dll”的模块，这个模块将另一个文件~wtr4132.tmp加载为“kernel32.dll.aslr.随机数字.dll”。

图10 样本文件衍生的关系

模块“kernel32.dll.aslr.随机数字.dll”将启动后续的大部分操作，它导出了22个函数来完成恶意代码的主要功能；在其资源节中，包含了一些要衍生的文件，它们以加密的形式被保存。

其中，第16号导出函数用于衍生本地文件，包括资源编号201的mrxcls.sys和编号242的mrxnet.sys两个驱动程序，以及4个.pnf文件。

第17号导出函数用于攻击WinCC系统的第二个漏洞，它释放一个s7otbxdx.dll，而将WinCC系统中的同名文件修改为s7otbxsx.dll，并对这个文件的导出函数进行一次封装，从而实现Hook。

第19号导出函数负责利用快捷方式解析漏洞进行传播。它释放多个lnk文件和两个扩展名为tmp的文件。

第22号导出函数负责利用RPC漏洞和打印服务漏洞进行传播。它释放的文件中，资源编号221的文件用于RPC攻击、编号222的文件用于打印服务攻击、编号250的文件用于提权。 3.1 抵御本次攻击

西门子公司对此次攻击事件给出了一个解决方案，链接地址见附录。下面根据我们的分析结果，给出更具体的措施。

1.使用相关专杀工具或手工清除Stuxnet蠕虫

手工清除的步骤为： 使用Atool管理工具，结束系统中的父进程不是winlogon.exe的所有lsass.exe进程； 强行删除下列衍生文件：

%System32%\drivers\mrxcls.sys

%System32%\drivers\mrxnet.sys

%Windir%\inf\oem7A.PNF

%Windir%\inf\mdmeric3.PNF

%Windir%\inf\mdmcpq3.PNF

%Windir%\inf\oem6C.PNF 删除下列注册表项：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNET 2. 安装被利用漏洞的系统补丁

安装微软提供的下列补丁文件： RPC远程执行漏洞（MS08-067） 快捷方式文件解析漏洞（MS10-046） 打印机后台程序服务漏洞（MS10-061） 内核模式驱动程序漏洞（MS10-073） 任务计划程序程序漏洞（MS10-092） 3. 安装软件补丁

安装西门子发布的WinCC系统安全更新补丁，地址见附录。

3.2 安全建议

此次攻击事件凸显了两个问题： 即便是物理隔离的专用局域网，也并非牢不可破； 专用的软件系统，包括工业控制系统，也有可能被攻击。 因此，我们对有关部门和企业提出下列安全建议：

加强主机（尤其是内网主机）的安全防范，即便是物理隔离的计算机也要及时更新操作系统补丁，建立完善的安全策略；

安装安全防护软件，包括反病毒软件和防火墙，并及时更新病毒数据库；

建立软件安全意识，对企业中的核心计算机，随时跟踪所用软件的安全问题，及时更新存在漏洞的软件；

进一步加强企业内网安全建设，尤其重视网络服务的安全性，关闭主机中不必要的网络服务端口；

所有软件和网络服务均不启用弱口令和默认口令；

加强对可移动存储设备的安全管理，关闭计算机的自动播放功能，使用可移动设备前先进行病毒扫描，为移动设备建立病毒免疫，使用硬件式U盘病毒查杀工具。 相比以往的安全事件，此次攻击呈现出许多新的手段和特点，值得我们特别关注。

4.1 专门攻击工业系统

Stuxnet蠕虫的攻击目标直指西门子公司的SIMATIC WinCC系统。这是一款数据采集与监视控制（SCADA）系统，被广泛用于钢铁、汽车、电力、运输、水利、化工、石油等核心工业领域，特别是国家基础设施工程；它运行于Windows平台，常被部署在与外界隔离的专用局域网中。

一般情况下，蠕虫的攻击价值在于其传播范围的广阔性、攻击目标的普遍性。此次攻击与此截然相反，最终目标既不在开放主机之上，也不是通用软件。无论是要渗透到内部网络，还是挖掘大型专用软件的漏洞，都非寻常攻击所能做到。这也表明攻击的意图十分明确，是一次精心谋划的攻击。

4.2 利用多个零日漏洞

Stuxnet蠕虫利用了微软操作系统的下列漏洞： RPC远程执行漏洞（MS08-067） 快捷方式文件解析漏洞（MS10-046） 打印机后台程序服务漏洞（MS10-061） 内核模式驱动程序漏洞（MS10-073） 任务计划程序程序漏洞（MS10-092） 后四个漏洞都是在Stuxnet中首次被使用，是真正的零日漏洞。如此大规模的使用多种零日漏洞，并不多见。

这些漏洞并非随意挑选。从蠕虫的传播方式来看，每一种漏洞都发挥了独特的作用。比如基于自动播放功的U盘病毒被绝大部分杀毒软件防御的现状下，就使用快捷方式漏洞实现U盘传播。

另一方面，在安天捕获的样本中，有一部分实体的时间戳是2013年3月。这意味着至少在3月份，上述零日漏洞就已经被攻击者掌握。但直到7月份大规模爆发，漏洞才首次披露出来。这期间要控制漏洞不泄露，有一定难度。

4.3 使用数字签名

Stuxnet在运行后，释放两个驱动文件：

%System32%\drivers\mrxcls.sys

%System32%\drivers\mrxnet.sys

这两个驱动文件伪装RealTek的数字签名（图7）以躲避杀毒软件的查杀。目前，这一签名的数字证书已经被颁发机构吊销，无法再通过在线验证，但目前反病毒产品大多使用静态方法判定可执行文件是否带有数字签名，因此有可能被欺骗。图11 Stuxnet伪造的数字签名

4.4 明确的攻击目标

根据赛门铁克公司的统计，7月份，伊朗感染Stuxnet蠕虫的主机只占25%，到9月下旬，这一比例达到60%。

WinCC被伊朗广泛使用于基础国防设施中。9月27日，伊朗国家通讯社向外界证实该国的第一座核电站“布什尔核电站”已经遭到攻击。据了解，该核电站原计划于2013年8月开始正式运行。因此，此次攻击具有明确的地域性和目的性。 5.1 工业系统安全将面临严峻挑战

在我国，WinCC已被广泛应用于很多重要行业，一旦受到攻击，可能造成相关企业的设施运行异常，甚至造成商业资料失窃、停工停产等严重事故。

对于Stuxnet蠕虫的出现，我们并未感到十分意外。早在去年，安天就接受用户委托，对化工行业仪表的安全性展开过研究，情况不容乐观。

工业控制网络，包括工业以太网，以及现场总线控制系统早已在工业企业中应用多年，目前在电力、钢铁、化工等大型重化工业企业中，工业以太网、DCS（集散控制系统）、现场总线等技术早已渗透到控制系统的方方面面。工业控制网络的核心现在都是工控PC，大多数同样基于Windows-Intel平台，工业以太网与民用以太网在技术上并无本质差异，现场总线技术更是将单片机/嵌入式系统应用到了每一个控制仪表上。工业控制网络除了可能遭到与攻击民用/商用网络手段相同的攻击，例如通过局域网传播的恶意代码之外，还可能遭到针对现场总线的专门攻击，不可轻视。

针对民用/商用计算机和网络的攻击，目前多以获取经济利益为主要目标，但针对工业控制网络和现场总线的攻击，可能破坏企业重要装置和设备的正常测控，由此引起的后果可能是灾难性的。以化工行业为例，针对工业控制网络的攻击可能破坏反应器的正常温度/压力测控，导致反应器超温/超压，最终就会导致冲料、起火甚至爆炸等灾难性事故，还可能造成次生灾害和人道主义灾难。因此，这种袭击工业网络的恶意代码一般带有信息武器的性质，目标是对重要工业企业的正常生产进行干扰甚至严重破坏，其背景一般不是个人或者普通地下黑客组织。

目前，工业以太网和现场总线标准均为公开标准，熟悉工控系统的程序员开发针对性的恶意攻击代码并不存在很高的技术门槛。因此，对下列可能的工业网络安全薄弱点进行增强和防护是十分必要的： 基于Windows-Intel平台的工控PC和工业以太网，可能遭到与攻击民用/商用PC和网络手段相同的攻击，例如通过U盘传播恶意代码和网络蠕虫，这次的Stuxnet病毒就是一个典型的例子。 DCS和现场总线控制系统中的组态软件（测控软件的核心），目前其产品，特别是行业产品被少数公司所垄断，例如电力行业常用的西门子SIMATIC WinCC，石化行业常用的浙大中控等。针对组态软件的攻击会从根本上破坏测控体系，Stuxnet病毒的攻击目标正是WinCC系统。 基于RS-485总线以及光纤物理层的现场总线，例如PROFIBUS和MODBUS（串行链路协议），其安全性相对较好；但短程无线网络，特别是不使用Zigbee等通用短程无线协议（有一定的安全性），而使用自定义专用协议的短程无线通信测控仪表，安全性较差。特别是国内一些小企业生产的“无线传感器”等测控仪表，其无线通信部分采用通用2.4GHz短程无线通信芯片，连基本的加密通信都没有使用，可以说毫无安全性可言，极易遭到窃听和攻击，如果使用，将成为现场总线中极易被攻击的薄弱点。 工业控制网络通常是独立网络，相对民用/商用网络而言，数据传输量相对较少，但对其实时性和可靠性的要求却很高，因而出现问题的后果相当严重。

传统工业网络的安全相对信息网络来说，一直是凭借内网隔离，而疏于防范。因此，针对工业系统的安全检查和防范加固迫在眉睫。

电脑病毒可以对核电站水电站进行攻击吗

1

计算机病毒的特征是传播性，非授权性，隐藏性，潜伏性，破坏性，不可预见性，可触发性。

2

计算机病毒根据感染方式可以分为感染可执行文件的病毒，感染引导区的病毒，感染文档文件的病毒。

3

现阶段的反病毒技术有特征码扫描，启发式扫描，虚拟机技术，主动防御技术，自免疫技术，云杀毒等等。

4

一个简单病毒的模块包含，触发模块，传播模块，表现模块。

为什么黑客想要毁掉工业4.0

这个世界有这么一群人，也在密切关注工业4.0。只不过，他们的方式和你不太一样。

如果你是普通民众，那么可能你关注的是，工业4.0能给你的生活带来什么；如果你是企业家，你可能想知道，工业4.0能帮你的企业提升多少利润；如果你是政府官员，你可能在考虑，工业4.0到底应该如何规划和发展。

都是积极、有益的一面。

但这群人不一样，他们关注的，是如何毁掉工业4.0！

严格来说，他们和工业4.0并没有什么不共戴天之仇，甚至，他们比你还热爱工业4.0，希望工业4.0时代早点到来。

他们想毁掉工业4.0的原因，只有一个，因为他们是黑客。

是的，实际上不只是工业的4.0时代，当工业和网络刚刚产生交集的时候，这群“地下幽灵”就已经盯上了它。

只不过，最近几年，当工业的智能化、网络化、信息化趋势越来越明显，他们毁掉工业的欲望和决心也越发强烈。

毁掉它，对黑客有什么好处？

天下熙攘，皆为利来，好处自然只有一个，利益。

随便翻翻最近几年的一些经典案例，就能知道，相比普通的消费网络领域，搞定一个工业控制系统或者工业控制网络，能给黑客带来多大的利益。

2015年以前，在网络安全圈流传最广的例子，当属2010年“震网”病毒干掉伊朗核电站事件。

迄今为止，它是谁研制的，怎么潜入伊朗核电站等问题，仍在困扰军事战略家、信息安全专家以及公众。

目前可以肯定的是，它确实在2010年7月，攻击了伊朗的纳坦兹铀浓缩工厂，侵入了控制离心机的主机，改变了离心机转速，导致工厂约1/5的离心机瘫痪报废。

（时任伊朗总统内贾德视察核设施，红圈内的红点表示有两台离心机已经损坏）

他说，以色列迪莫纳核基地和美国能源部下属的国家实验室用了两年时间，联合研制了“震网”病毒，目的是给美国和以色列的敌人“制造点麻烦”。

且不论真假，至少按照大部分军事战略专家和信息安全专家的评估，它让伊朗花了两年时间恢复核计划，作用已经赶上了一次军事打击，而且效果更好，没有人员伤亡，也没有发生战争。

前面说“震网”是2015年以前最经典的案例，2015年以后，最经典的案例，则是去年年底和今年年初刚刚发生的乌克兰电网被黑事件。

2015圣诞前夕一直到2016年1月，乌克兰的变电站控制系统持续遭到网络攻击，至少三个区域的约140万居民失去了电力供应，大规模停电3~6个小时。

与此同时，电力部门报修的电话线路也遭到恶意软件攻击堵塞，停电+通信中断，引起了当地民众的极大恐慌。

和“震网”事件一样，谁干的，为了什么等问题还是个迷，由于没有斯诺登这样的“内部人士”爆料，乌克兰局势又不稳定，各种风言风语满天飞。

有人甚至把它和大国博弈的局势联系到一起。因为这次攻击电力系统的恶意软件“暗黑能源”，某些国家曾用它过用来攻击其他一些东欧国家。

不管是黑客的炫技或者是国家工程，至少，和“震网”一样，它也达到了破坏的目的。

工业系统这么脆弱？还是“敌人”太狡猾

在你的印象中，用来控制电力、制造、能源、水利等工业设施的系统，是不是应该固若金汤。又或者，你应该或多或少听说过，工业控制系统都有个内网隔离的做法。

是的，大部分有操守的国家，都会对关键的工业设施进行隔离，网络和信息化控制系统更是如此，不仅不和外网连接，还会进行严格的物理隔离，修上水泥墙、关入小黑屋什么的保护起来。

但即便如此，为什么核电站离心机被干掉、变电站被撂倒的事情还是会发生，黑客的技术和手法竟如此高明？

很遗憾告诉你，除去病毒编制部分要点网络和计算机技术，黑客搞定工业控制系统的其他手法，其实并没有多高明，你最多只能把它称为“敌人太狡猾”。

因为绝大多数把病毒弄进工业控制系统的手法，都来自社会工程学。

什么是社会工程学？

按照专业点的说法，叫“一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段取得自身利益的手法”。

实际上，通俗一点解释，没那么高大上，就是坑蒙拐骗。

比如，关于“震网”病毒如何传播到与外网隔离的离心机控制系统上的，有一个普遍认同的说法，是控制系统主机被人插了个带病毒的U盘。

等等，带病毒的U盘？核设施管理这么严格，怎么带进去的？

最有意思的一种猜测是，攻击方在核电站工作人员的工作和生活地点，扔了好多精美的U盘，工作人员一时喜欢，捡起来带了进去。当然，U盘里的病毒经过遮掩处理，一般人是觉察不到的。

如果这个猜测有点开玩笑，那么乌克兰电力控制系统事件被挖出来的攻击手法就更能说明问题。

刨根问底之后，众多网络安全公司发现了搞定乌克兰电力系统的源头，竟来自一封电子邮件。

当时，乌克兰电力公司的下属机构和另一家公司不少人都收到一封电子邮件，标题是：“注意！2016-2025 年OEC乌克兰发展计划研讨会变更举行日期”。

邮件内容大意是：根据乌克兰法律“运营乌克兰电力市场的原则”以及“未来十年乌克兰联合能源系统的订单准备系统运营商发展计划”，经乌克兰煤炭工业能源部批准的No.680 20140929系统运营商，在其官方网站发布。主题是：“乌克兰2016年至2025年联合能源系统发展规划”。发展规划具体内容草案在邮件附件中。

发件人是乌克兰某国有电力公司，当然，邮箱肯定是伪造的。

但这样的邮件，对于电力系统的人来说，就和我们收到了来自支付宝或运营商的账单一样。很多人会完全放松警惕。

下载了发展规划草案附件后，是一个“老实巴交”的Excel文件，打开这个文件后，会跳出一个提示：“请注意！本文件创建于新版本的Office软件中。如需展示文件内容，需要开启宏。”

此时，大多数人估计会一边吐槽单位的办公软件这么落后，一边点击“同意”下载。

那么，恭喜你，你成功帮黑客下载了病毒。

接下来，这个下载的恶意代码会在暗地里继续下载全套的攻击软件，并帮黑客留一个后门，再往后，你也知道了，控制电力控制系统，搞破坏。

看下整个过程，和我们常见的电信诈骗有什么区别？完全没有，就是坑蒙拐骗，使出各种手段，能让你安上病毒就行。

得承认，很多工业控制系统确实很脆弱

没错，除了“敌人太狡猾”，确实在有些领域，工业控制系统存在不少漏洞，甚至在一些地方和行业“惨不忍睹”。

不说全球，单看看我们自己。

乌克兰电力系统事件后，国内网络安全公司知道创宇对全球工控设备组建进行了侦测分析，整理出了《暴露在 Internet 上的工业控制设备》的报告。

报告中侦测了交通、能源、水利等多个领域，从中发现我国有一些重要工业控制系统正处于严重的安全威胁之中。

这张图是全球及我国(含台湾地区)暴露在网络上的工业控制设备统计，可以看到，我国各种控制协议的工业控制设备中，完全暴露在外，换句话说，就是可以轻易被攻击的，多达935个。

下面还有一些具体城市的数据。

看不懂协议名称的话，看城市就好。可以看到，我国大陆地区长春、合肥、南京等城市，以及我国台湾地区的工控系统面临较大安全风险。

为什么这么惨？

其实原因大部分都是一个，不重视！

一位曾经在某能源系统科技部门担任过总监的人士告诉过《财经国家周刊》，我国的大工业大制造设备基本都在国企手里，由于体制机制等原因，大多数国企并不认为自己会成为攻击目标，给自己的工业控制系统添加安全防护系统也不是工作的首选。

也有些企业，认识到工业控制系统安全的重要性，但由于没有专业知识、人员和部门支撑，所以往往是买个防火墙装上就完事了。

更严重的是，一些企业的生产系统还在用2003年的Windows 2003系统，幸运的话还可以找到1998年发布的Windows 98系统。随便拿台外部电脑或外网设备连接一下，就能轻松搞定它。

试想下，如果这些设备被控制，轨道交通被人控制，电力被人切断，水坝开合被人操纵，那是多么可怕的场景和后果。

工业控制系统这么重要，怎么办？

当然不能坐以待毙。

对于工业企业来说，最要紧的事情自然是提高工业控制系统的安全意识，有漏洞查漏洞，有问题解决问题，赶紧加强针对性的防护措施。

这里需要注意的是，和其他领域的网络安全防护一样，工业控制系统的安全防护也是一个系统性工程，要引入整体和全周期的防护理念和措施，不能再延续过去的旧思维，买个防火墙装上了事。

至于黑客玩社会工程学，坑蒙拐骗渗透传播病毒，没什么别的办法，只能加强关键领域、部门和设施工作人员的安全防护意识，脑子里多根弦，同时制定严格的管理制度和权责要求。

对于国家来说，要做的事情就更多了。

首先机制上就有很多工作可以做，比如建立一个国家在关键基础设施和重要系统遭受大规模高强度攻击时的响应机制及协调机构，同时组建以工业企业、信息网络、公共安全为主的应急联动机制，制定应急响应处理办法。

再比如做好威胁情报研究。各方联动，形成合力，提供更有价值的威胁情报信息，建立更有实用性的威胁情报库，为政府机构、安全厂商、企事业用户提供更好的支持。

除了机制上的事情，技术上也有一些办法。

最要紧的是做好整个防护体系的“供应链”安全。特别是在国家工业领域一些关键基础设施和重要信息系统新建项目上，必须要强化项目规划和设计阶段的信息安全风险评估，引入第三方安全机构或服务商对技术实施方案和产品供应链进行审查。

更靠谱的办法是整体考虑工业控制系统安全体系，从涉及国计民生的关键基础设施入手，加大投资力度，大力发展具有自主知识产权的安全防护技术和产品。

也就是用我国自己的安全工控系统，替换掉进口产品。不过，和芯片、操作系统一样，因为起步太晚，我国的工控系统技术成熟度不够，所以自主研发这条路只能一步步来，急也没用。

通过电脑病毒甚至可以对核电站水电站进行攻击，这是真的么？

通过电脑病毒甚至可以对核电站、水电站进行攻击导致其无法正常运转，绝对可行，已有在现实中实际发生的案例。

2010年6月，白俄罗斯一家安全公司应邀对伊朗的一些私人计算机进行故障排查。这些电脑反复出现崩溃，然后重启的怪象。这通常是感染了电脑病毒的症状，果然，安全公司从中找出了一个隐蔽的病毒。

但随着研究人员的深入研究，发现这个病毒可不简单。他们在电脑里发现了一种前所未见的新型病毒。通常电脑病毒无非窃取个人信息，利用做其他用途。但这个病毒既没有窃取程序，也没造成电脑重度瘫痪，真实目的让人摸不着头脑。

同时，这还是当时发现的最精密也最复杂的计算机病毒。他们把这个病毒称为震网病毒。发现的时候，其实伊朗已经有60%的计算机感染上了这种莫名其妙的病毒。

其中最关键的一点，是病毒中含有两个针对西门子工控软件漏洞的攻击。攻击工控软件的这种情况，在当时还从来没有出现过。这是世界上第一例针对工控软件的病毒。

闪电真的可以保护电网免造黑客入侵吗？

一项新的研究表明，有一天，来自遥远风暴的信号和闪电可能有助于防止黑客破坏变电站和其他关键基础设施。通过使用独立的监控系统，安全人员可以分析变电站组件发送的电磁信号，以确定黑客是否在利用远程设备篡改开关和变压器。

数千英里外的闪电信号将对这些信号进行身份验证，以防止恶意用户向系统中注入虚假监控信息。研究人员对两家电力公司的变电站进行了测试，并进行了大规模的建模和仿真。他们在2019年圣地亚哥网络和分布式系统安全研讨会上讨论了这项技术，即基于频率的分布式入侵检测系统。佐治亚理工学院电气与计算机工程学院教授、联合创始人拉希姆•拜亚说：“我们应该能够远程检测到任何改变核电站部件周围磁场的攻击。我们正在利用一种物理现象来确定变电站是否发生了什么事情。”

2015年的袭击

打开变电站断路器，导致电网停电是一种潜在的电网攻击。2015年12月，袭击者利用这项技术切断了乌克兰23万人的电力供应。攻击者打开30个变电站的断路器，然后侵入监控系统，使电网运营商认为系统运行正常。更糟糕的是，他们还攻击了呼叫中心，阻止客户告诉运营商发生了什么。

“电网的规模如此之大，很难保证其安全，”由于这些电源连接，黑客在许多地方都有机会。这就是为什么我们需要一种独立的方法来知道网格中发生了什么。”这种独立的方法将使用位于变电站内或附近的天线来检测设备产生的唯一射频，即“侧信道信号”。监测设备将独立于目前使用的监测和控制系统运行。“当电网不可靠时，我们可以使用射频（RF）接收器来确定脉冲是否以‘开’操作的形式出现。该系统的工作频率为60赫兹，几乎没有其他系统在运行，因此我们可以确定我们正在监测什么。”

间谍要核电站资料能干嘛

核电站作为未来世界最为倚仗的能源提供中心，能力强大而脆弱，间谍要核电站的资料目的是为了占有主动权，去摧毁核电站。

“震网”事件发生后，核电站遭受攻击的事件日益频繁，形式也更多种多样。

攻击核电站的黑手。

在多种多样攻击核电站的事件背后，其攻击发起者也有所不同。

1、黑客个体炫技：

早期针对核电站的攻击者以黑客个体为主，其动因多是出于冒险、炫技、挑战权威等。由于核电站的网络部署一般与互联网隔离，能突破物理隔离的限制发起攻击并得手的黑客会得到出奇的自我实现式的满足。他们的攻击目的在于享受突破种种防御的过程，对突破防御后，进行破坏的诉求较小。

2、大国暗战：

不过自从2010年伊朗“震网”事件后，国家推手作为始作俑者，站上了核电站攻击者主角的舞台。

这个像龙卷风一样的代码关系图展示了攻击伊朗核电站的病毒庞大的代码群及代码间复杂的关系。令人惊叹的是，这只是主模块的代码!仅仅这一个模块就调用了大约4400多次字符串反混淆例程。这样的批量漏洞利用和代码开发量是黑客个体不可能实现的，只有由国家作为背景的有组织有计划的精心架构和策划才能得以实现。

由国家发起的对核设施的攻击，强调对核设施的破坏程度，以伊朗为例，在一波又一波的“病毒”攻击中。伊朗全国近2/3的离心机瘫痪。导致其核能发展得到遏制，以至于到如今不得不放弃对原子弹的研究和开发，并与美国妥协。

近年来的韩国、日本等地的攻击事件，背后都闪动着国家黑客部队的影子。

3、恐怖分子：

由于核电站设施与美国世贸大厦一样，对一个国家来说有一定的地标效应，近年来随着恐怖主义的泛滥，核设施也逐渐受到转战网络的恐怖分子们的关注，今年，德国核电站遭受的攻击，有很大可能就与此有关。

恐怖分子的攻击以散播恐怖为唯一诉求，制造最大化的眼球效应是他们的目的，所以他们对核电站的威胁显得日益严重。

最易受攻击的国家和地区：目前，全世界正在运行的核电站共有438座，其中美国、欧洲、俄罗斯、韩国等是核能开发大国，而中国和印度是未来核能利用发展最快的国家。