佛罗里达水处理工厂事件调查报告：发现水坑攻击-低调大师

佛罗里达水处理工厂事件调查报告：发现水坑攻击

2021-05-20 449

工控安全安全公司Dragos对佛罗里达州奥尔德斯马市水处理厂最近的网络攻击进行的调查中发现了一个水坑攻击，该攻击最初似乎是针对水处理基础设施的。

执法部门在今年2月初透露，黑客获得了对奥尔兹玛(Oldsmar)水处理工厂系统的访问权限，并试图将某种化学物质的含量提高到可能使公众面临中毒风险的程度。

攻击者利用了TeamViewer，因为该工厂的员工一直在使用TeamViewer远程监视和控制系统。由于密码共享和其他不良的安全做法，黑客很容易获得访问权限并开始在HMI中进行未经授权的更改。幸运的是，工作人员注意到鼠标在屏幕上(自行)移动，发现攻击行为从而避免了灾难。

在调查此事时，Dragos的威胁猎人注意到，佛罗里达一家水利基础设施建设公司的网站也被入侵，并被设置用于水坑攻击。攻击者在该网站上植入恶意代码，采集来访计算机上的信息。

从2020年12月到2021年2月，该水坑攻击恶意脚本存在了将近两个月，并且收集了有关操作系统、CPU、浏览器、输入法、摄像头、加速度计、麦克风、接触点、视频卡、时区、地理位置、屏幕信息以及浏览器插件等信息。此外，它还将受害者定向到几个收集浏览器密码指纹的站点，一些网络防御解决方案使用这些指纹来检测是否来自感染了恶意软件的主机的连接。

Dragos确定，在两个月的时间内，超过1,000台计算机访问了这个水坑，其中包括州和地方政府组织、市政水务客户以及与水处理行业相关的私人公司。恶意代码描述的大多数组织都在佛罗里达州和美国其他地区。这似乎表明这是针对美国水务部门的有针对性攻击的一部分。

有趣的是，在奥尔兹玛(Oldsmar)自来水厂被黑客入侵前几小时，该水厂的一位工作人员恰好访问过“水坑”网站。但这似乎与自来水厂的黑客攻击无关。实际上，Dragos在报告中指出，它有“中等信心”，认定没有组织因水坑攻击而受到损害。

对水坑攻击中使用的代码进行分析后，安全调查人员将其关联到一个名为DarkTeam Store的网络犯罪网站，该网站的一部分感染了名为Tofsee的恶意软件，是Dragos跟踪的Tesseract的变种。

Dragos在博客文章中指出：“根据到目前为止我们收集的数字取证信息，Dragos的最佳评估是，攻击者在水利基础设施建设公司的站点上部署了一个水坑，以收集合法的浏览器数据，目的是提高僵尸网络恶意软件模拟合法的Web浏览器活动的能力”。

Dragos还指出：“我们不明白攻击者为什么选择入侵佛罗里达水利建筑公司的站点来托管其代码。有趣的是，与其他水坑攻击不同，该代码未提供利用或试图获得对受害者计算机的访问权限(仅收集信息)。攻击者可能认为，与一个忙碌但受到更严格监控且拥有专门安全团队的网站相比，水利基础设施建设网站将有更宽松的停留时间来收集攻击目标的重要数据。”

Dragos指出，尽管水坑攻击似乎并非直接针对自来水厂，但该事件确实凸显了对不受信任站点实施访问控制的重要性，尤其是在OT和ICS环境中。

参考资料：https://www.dragos.com/blog/industry-news/a-new-water-watering-hole/

【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文

微信关注我们

原文链接：http://zhuanlan.51cto.com/art/202105/663244.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

直击RSAC 2021：从“弹性”看360数字安全能力体系，如何应对未知威胁

1）前言摔倒后，站起来！这就是Resilience（弹性）。注：Resilience和Resiliency是可替换的拼写方式，译为弹性、韧性、复原能力皆可，本文统一为“弹性”。 2020年以出乎意料的疫情考验了全人类，使RSAC 2021的主题“弹性”（Resilience），比历届都更能引起共鸣。 RSA 2021已于美国旧金山时间5月17日8:00（北京时间当晚23:00）召开，这是RSA大会有史以来第一次采用网络虚拟会议的形式举办。360安全专家团队和市场团队第一时间蹲夜守候，为安全行业传递RSA声音。 2）变化的是形式，不变的是热情 RSA大会始于1991年，由美国RSA公司发起，至今正好30岁。正如RSA算法已经家喻户晓，RSA大会也已成为全球公认最权威的年度安全盛会。近几年来，现场参会人数多达4-5万人。而今年最大的变化是采用线上网络虚拟会议的形式举办。 RSAC最早是RSA发起的，而RSA的名字来自与密码和安全界无人不知的RSA算法的三位创造者。而其中最著名的R（Rivest）和S（Shamir）都到场了。另外，还有大名鼎鼎的DH算法创造者之一Diffie。 3）何为...

2021-05-20

548

当地时间5月19日，在RSAC 2021大会上，SolarWinds公司首席执行官Sudhakar Ramakrishna首次公布SloarWinds供应链攻击的攻击细节，还对此前在国会上“甩锅”实习生泄露密码的言论表示后悔。今年2月，Sudhakar Ramakrishna和前任CEO Kevin Thompson，一起出席了美国众议院监督和国土安全委员会(House Oversight and Homeland Securities committees)举办的联合听证会上。在会上， Kevin Thompson将“solarwinds123”密码泄露事件归咎于实习生。两人指责密码问题是 "一个实习生犯的错误"，称"他违反了我们的密码政策，在内部、在自己的私人Github账户上发布了这个密码。” Sudhakar Ramakrishna此次在RSAC大会上对发表该言论表示后悔。他表示，“长期以来，我一直秉持一种理念，那就是永远不要’鞭打’失败者，我希望员工、实习生犯错误后能从错误中学习……所以我们在国会听证会上将错误归咎于一名实习生是不恰当的，也不是我们应该做的。” 他还披露，攻...

2021-05-20

592

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。