近日，安全機構發現有網絡間諜集團重新構建了一款名為BlackEnergy的惡意軟件程序，利用該惡意軟件不僅可以向Windows電腦發起攻擊，還可以向基于ARM或MIPS架構的路由器和Linux系統展開破壞。
Linux、思科網絡設備可受攻擊
本周一，網絡安全研究人員在最新的安全報告中表示，近期有網絡間諜集團為一款BlackEnergy惡意軟件開發了新的可自定義模塊，來賦予其新的攻擊性能和隱蔽性。據悉，該惡意軟件最初是為了讓網絡犯罪分子方便發動DDos(分布式拒絕服務)攻擊而進行設計的。
從報告中了解到，目前在Windows和Linux系統中同時被發現有針對于BlackEnergy的變種插件存在，而且該惡意軟件的功能被進行增強和改進，可以執行諸如端口掃描、竊取密碼、系統信息收集、數字證書盜竊、遠程桌面連接，甚至是抹除硬盤上的數據等等。
研究人員稱，根據網絡間諜集團的攻擊目標和受害者設備系統的不同，BlackEnergy惡意軟件可以通過在每個受害者機器上，部署不同的插件用于構建命令及控制(C&C)服務器。
在一個案例中，攻擊者下載并執行了一個被稱為“dstr”的BlackEnergy插件，之后便摧毀了一個機構里Windows電腦上的所有數據。“總而言之，攻擊者利用‘dstr’模塊，可以方便地在受害者設備上展開攻擊或進行潛伏隱藏”，研究人員表示，“一些被植入該插件的機器收到指令，便會丟失數據或變成無法開機狀態。”
在另一個案例中，某機構里的一些Windows電腦數據在遭受破壞后，即使修復也無法通過Telnet對思科路由器進行訪問。研究人員稱，當他們調查時，發現通過BlackEnergy，攻擊者在路由器上留下幾個“告別”的腳本。
而這些腳本已經被用于清除攻擊者在受控路由器上留下做過什么的痕跡，其中一個腳本上存在有“Cisc0 API Tcl extension for B1ack En3rgy b0t”，這樣直言不諱的字樣。
威脅工業控制系統網絡
根據研究發現，該網絡間諜集團似乎還對將運行中的工業控制系統作為攻擊目標，特別感興趣，尤其是一些能源部門。已經被確認為受害者的機構中包括電廠運營部門、電力設施建設公司、大功率相關材料供應商和制造商，以及能源部門的投資者等等。而這也正巧符合美國國土安全部下屬的工業控制系統網絡緊急響應小組(ICS-CERT) 近期的的調查結果。
在上個星期的一項安全警報中，ICS-CERT警告說運行人機界面(human- machine interface，HMI)產品的多個公司系統中已感染了BlackEnergy惡意軟件，其中包括有 General Electric(通用電氣)、Siemens(西門子)、BroadWin、Advantech等等企業。
注：人機界面是一款為監測和與工業控制系統進行交互提供圖形用戶界面的軟件應用程序。
除了對工業控制系統運營商有興趣外，該網絡間諜集團還將高級別政府組織、市政辦公室、聯邦緊急服務、國家標準機構、銀行、學術研究機構等組織鎖定為目標。目前已確定的BlackEnergy受害者，在至少20個國家里分布著，破壞影響廣泛。
雖然現在尚不清楚這個網絡間諜集團被誰操縱，但有跡象表明該集團利用過屬于俄羅斯國防部的IP地址進行DDoS攻擊。
京公網安備 11010502049343號