伊朗关联网络威胁者利用可编程逻辑控制器攻击美国关键基础设施
近年来,网络安全威胁日益复杂,尤其是针对关键基础设施的攻击屡见不鲜。2026年4月7日,美国联邦调查局(FBI)、网络安全与基础设施安全局(CISA)、国家安全局(NSA)等多个机构联合发布了一份重要的网络安全通告,揭露伊朗关联的高级持续威胁(APT)组织正在利用可编程逻辑控制器(PLC)对美国关键基础设施发动网络攻击。此次事件涉及Rockwell Automation/Allen-Bradley制造的PLC设备,并导致多个行业遭受操作中断和财务损失。本文将从技术细节、影响范围、历史背景以及应对措施等多个角度,深入分析此次网络安全事件,并为相关行业提供安全防护建议。伊朗关联APT组织的攻击手法根据通告,伊朗关联的APT组织通过互联网暴露的操作技术(OT)设备,特别是Rockwell Automation/Allen-Bradley制造的PLC,进行恶意操作。这些攻击者利用Rockwell Automation的Studio 5000 Logix Designer等配置软件,建立与受害者PLC的连接。
攻击者通过提取设备的项目文件和操纵人机界面(HMI)和监控控制与数据采集(SCADA)显示的数据,导致操作中断。此外,攻击者还部署了Dropbear Secure Shell(SSH)软件,通过端口22实现远程访问。此次攻击的影响范围此次攻击的影响范围涵盖了美国多个关键基础设施行业,包括政府服务和设施、水和污水系统(WWS)以及能源部门。受影响的PLC设备包括CompactLogix和Micro850等型号。攻击者通过操纵项目文件和SCADA显示的数据,导致受害者组织遭受操作中断和财务损失。此外,攻击者还利用了多个端口,包括44818、2222、102、22和502,这表明他们可能还在针对其他品牌的OT设备,如西门子S7 PLC。
历史背景与类似事件此次攻击并非孤立事件。2023年11月,伊朗伊斯兰革命卫队(IRGC)网络电子指挥部(CEC)关联的网络威胁组织"CyberAv3ngers"曾针对美国基础设施的PLC和HMI发动攻击,导致至少75台设备受损。这些攻击者还被称作Hydro Kitten、Storm-0784、APT Iran等。此次事件与之前的攻击手法有相似之处,表明伊朗APT组织正在持续升级其网络攻击能力。应对措施与安全建议针对此次网络攻击,美国联邦机构提出了多项应对措施和安全建议。首先,建议组织将PLC设备从公共互联网中断开,并通过安全网关和防火墙进行保护。
其次,建议定期查询日志,检查是否存在异常流量和入侵迹象。此外,还建议组织定期更新PLC设备的软件,并启用多因素认证(MFA)以增强安全性。对于Rockwell Automation设备,建议将物理模式开关置于运行位置,以防止远程修改。此外,组织还应加强网络监控,特别是针对来自海外托管提供商的流量。建议组织定期备份PLC设备的逻辑和配置,并将备份文件存储在离线环境中。此外,组织还应定期测试其安全控制措施,以确保其有效性。
结论伊朗关联APT组织利用PLC设备对美国关键基础设施发动的网络攻击,再次凸显了网络安全威胁的严峻性。此次事件不仅影响了多个行业的正常运营,还导致了财务损失。面对日益复杂的网络威胁,组织必须采取积极的安全措施,以保护其关键基础设施免受攻击。通过加强网络安全防护,组织可以有效降低网络攻击的风险,确保其业务的稳定运行。 。
