探讨俄罗斯支持的黑客组织如何利用脆弱的VNC连接攻击关键基础设施,分析其技术手段和影响,并提供防护建议,帮助组织提升网络安全防御能力。
近年来,俄罗斯支持的黑客组织对全球关键基础设施发动了一系列机会主义攻击,威胁到能源、水处理、农业等关键行业的安全稳定。这些攻击主要通过暴露在公网的虚拟网络计算(VNC)连接实现,利用默认或弱密码轻松渗透操作技术(OT)设备。尽管这些攻击的技术水平相对较低,但其随机性和频率使得受害者难以预测和防御。本文将深入分析这些黑客组织的背景、技术手段、影响以及如何有效应对这些威胁。 俄罗斯支持的黑客组织主要包括Cyber Army of Russia Reborn(CARR)、NoName057(16)、Z-Pentest和Sector16等。这些组织虽然声称与俄罗斯政府无直接关联,但其行动与俄罗斯的地缘政治目标高度吻合。
例如,CARR最初由俄罗斯总参谋部情报总局(GRU)支持创建,主要通过分布式拒绝服务(DDoS)攻击和操作技术渗透活动来实现其目标。NoName057(16)则由克里姆林宫支持的机构创建,专门针对北约成员国和欧洲国家发动DDoS攻击。Z-Pentest和Sector16则是近期新兴的黑客组织,专注于操作技术渗透和"黑客与泄露"活动,以吸引媒体关注。 这些黑客组织的攻击手段相对简单,但效果显著。它们通常通过扫描互联网上的VNC服务,利用暴力破解工具猜测默认或弱密码,获取对人机界面(HMI)设备的访问权限。一旦进入系统,它们会修改设备参数、禁用警报、更改用户名和密码,甚至导致设备重启或关闭。
尽管这些攻击通常不会造成严重的物理损害,但会导致操作中断、人工干预和经济损失。例如,2023年CARR声称对欧洲一家污水处理厂发动攻击,2024年则针对美国两家乳制品农场的HMI设备进行渗透。 尽管这些黑客组织的技术水平有限,但其攻击频率和随机性使得防御变得复杂。它们通常利用互联网上的公开工具进行扫描和暴力破解,目标选择基于设备的可用性和脆弱性,而非战略价值。这意味着任何暴露在公网上的VNC设备都可能成为攻击目标。此外,这些组织还会通过社交媒体和Telegram频道宣传其攻击活动,夸大其影响力以吸引更多关注。
为了应对这些威胁,关键基础设施组织需要采取多方面的防御措施。首先,减少OT设备对公网的暴露,避免使用默认或弱密码。其次,实施网络分段,将IT和OT网络隔离,限制外部访问。此外,定期更新和补丁管理也是关键,确保所有系统和软件使用最新版本。强化身份验证也是必要的,尽可能使用多因素认证(MFA),并禁用未使用的认证方法。最后,建立完善的资产管理流程,映射数据流和访问点,以便监控和评估关键设备的状态。
OT设备制造商也需要承担责任,确保其产品"出厂即安全"。这包括消除默认凭据、强制使用强密码、实施安全默认设置、提供无成本的日志记录和软件清单(SBOM)。通过这些措施,可以显著降低设备被攻击的风险,提高整体网络安全水平。 尽管俄罗斯支持的黑客组织目前的攻击能力有限,但其持续的活动和技术手段的演变可能对关键基础设施构成更大的威胁。因此,组织必须保持警惕,定期评估和更新其安全策略,以应对不断变化的网络威胁。通过采取上述防御措施,组织可以有效降低被攻击的风险,保护其关键基础设施的安全稳定。
。
