DQZHAN技術(shù)訊：發(fā)電廠工控信息**故障案例及分析處理

DCS和PLC系統(tǒng)部分工控機(jī)出現(xiàn)重啟或藍(lán)屏現(xiàn)象事件分析及處理

2017年8月15日，某廠發(fā)生了生產(chǎn)大區(qū)、管理大區(qū)等信息**事件,相繼DCS和PLC系統(tǒng)部分工控機(jī)出現(xiàn)重啟或藍(lán)屏現(xiàn)象。經(jīng)對(duì)全廠控制系統(tǒng)的服務(wù)器、工程師站、歷史站、接口機(jī)、操作員站進(jìn)行掃描，發(fā)現(xiàn)病毒文件tasksche.exe、mssecsvc.exe、qeriuwjhrf存在于電腦C:\Windows目錄下，且病毒程序執(zhí)行時(shí)間和8月15日晚電腦藍(lán)屏死機(jī)時(shí)間吻合。分析認(rèn)為本次事件由于病毒感染引起：

（1）病毒行為分析

目前該病毒分別在電廠**I 區(qū)、**II 區(qū)、管理大區(qū)發(fā)現(xiàn)均有主機(jī)感染“變種勒索病毒”，文件信息如下：

病毒文件：mssecsvc.exe   大小: 3723264 字節(jié)

MD5:0C694193CEAC8BFB016491FFB534EB7C

該病毒變種樣本據(jù)確認(rèn)*早在互聯(lián)網(wǎng)發(fā)現(xiàn)于2017年6月2日，感染后會(huì)釋放文件：c:\windows\mssecsvc.exe、c:\windows\qeriuwjhrf、c:\windows\tasksche.exe，開(kāi)啟服務(wù)并運(yùn)行，但由于變種版本只會(huì)通過(guò)TCP:445端口感染其它主機(jī)，出現(xiàn)間斷性攻擊主機(jī)藍(lán)屏死機(jī)重啟，影響生產(chǎn)控制系統(tǒng)運(yùn)行，釋放的加密程序文件tasksche.exe，經(jīng)分析為文件包壓縮異常，無(wú)法運(yùn)行加密程序，變成真正的“勒索病毒”，所以沒(méi)有導(dǎo)致更嚴(yán)重的生產(chǎn)系統(tǒng)數(shù)據(jù)加密的問(wèn)題發(fā)生（包括生產(chǎn)資料、邏輯文件、SIS數(shù)據(jù)庫(kù)加強(qiáng)等）。

（2）病毒體分析

分別對(duì)mssecsvc.exe、tasksche.exe和qeriuwjhrf病毒文件進(jìn)行反匯編分析與測(cè)試。得到以下結(jié)論：

mssecsvc.exe創(chuàng)建服務(wù)mssecsvc2.0，釋放病毒文件tasksche.exe和qeriuwjhrf文件并啟動(dòng)exe文件，mssecsvc2.0服務(wù)函數(shù)中執(zhí)行感染功能，執(zhí)行完畢后等待24小時(shí)退出，啟動(dòng)mssecsvc.exe，再循環(huán)向局域網(wǎng)的隨機(jī)ip發(fā)送SMB漏洞利用代碼。

通過(guò)對(duì)其中的發(fā)送的SMB包進(jìn)行分析，此次病毒發(fā)行者正是利用了2016年盜用美國(guó)國(guó)家**局（NSA）自主設(shè)計(jì)的Windows系統(tǒng)黑客工具Eternalblue。

經(jīng)過(guò)對(duì)多方求證和數(shù)據(jù)重組分析得出，明確該病毒使用ms17-010漏洞進(jìn)行了傳播，一旦某臺(tái)Windows系統(tǒng)主機(jī)中毒，相鄰的存在漏洞的網(wǎng)絡(luò)主機(jī)都會(huì)被其主動(dòng)攻擊，整個(gè)網(wǎng)絡(luò)都可能被感染該蠕蟲(chóng)病毒，受害感染主機(jī)數(shù)量*終將呈幾何級(jí)的增長(zhǎng)。其完整攻擊流程如下該病毒攻擊流程如下：

在反匯編過(guò)程中，發(fā)現(xiàn)其主傳播文件mssecsvc.exe其中釋放出的tasksche.exe為破損文件，無(wú)法正常執(zhí)行病毒程序，故此次病毒無(wú)法完成*關(guān)鍵動(dòng)作，無(wú)法加密文件以達(dá)到勒索的目的。因此在本次**事故中，并未造成實(shí)質(zhì)性、災(zāi)害性的破壞的**事件。

（3）事件調(diào)查

影響范圍：涉及生產(chǎn)大區(qū)、管理大區(qū)。

生產(chǎn)大區(qū)情況：攻擊除#1機(jī)組DCS、NCS、電量之外的I、II區(qū)幾乎所有的特定版本的Windows主機(jī)，包括DCS、輔控、各接口機(jī)、SIS，由于各區(qū)域通過(guò)接口機(jī)感染，導(dǎo)致各接口機(jī)隔離生產(chǎn)系統(tǒng)相互交叉感染，導(dǎo)致病毒**大爆發(fā)，現(xiàn)場(chǎng)確認(rèn)**次主機(jī)攻擊2017年8月15日21:20左右進(jìn)行。

管理大區(qū)情況：目前在辦公區(qū)域員工電腦發(fā)現(xiàn)1臺(tái)主機(jī)感染“勒索病毒變種”，感染時(shí)間在2017年8月15日 23:11，與病毒樣本為生產(chǎn)區(qū)同一版本，該主機(jī)未打補(bǔ)丁及病毒庫(kù)，發(fā)現(xiàn)多個(gè)木馬病毒感染的情況；另外1臺(tái)為輸煤輔控監(jiān)控主機(jī)為2017年8月17日 14:57，同樣是未打補(bǔ)丁及未安裝病毒軟件。

由于該“勒索病毒變種”感染自身行為特點(diǎn)、生產(chǎn)大區(qū)與管理大區(qū)存在感染同一病毒的情況，分析原因如下：

a）直接攻擊原因分析2種：通過(guò)移動(dòng)存儲(chǔ)介質(zhì)感染和通過(guò)網(wǎng)絡(luò)感染（這種可能性比較高），后者可能又分為2種情況：

感染病毒的主機(jī)與生產(chǎn)大區(qū)主機(jī)存在（臨時(shí)）網(wǎng)絡(luò)交叉，這種情況可能性比較低（只有已配置特定雙網(wǎng)卡情況下才會(huì)發(fā)生，直連網(wǎng)絡(luò)不可達(dá)，現(xiàn)場(chǎng)排查**的雙網(wǎng)卡是值長(zhǎng)站辦公主機(jī)，但是與調(diào)度三區(qū)非同時(shí)連接）。目前已排查重點(diǎn)區(qū)域：值長(zhǎng)站辦公主機(jī)、NCS相關(guān)主機(jī)，包括錄波，也有感染非勒索病毒）、輔控辦公主機(jī)（輸煤監(jiān)控有1臺(tái)感染勒索病毒）；

感染病毒的電廠內(nèi)部、工控廠家運(yùn)維筆記本，及生產(chǎn)區(qū)電腦在管理區(qū)維護(hù)后接入生產(chǎn)大區(qū)網(wǎng)絡(luò)，這種情況可能性比較高。

b）可能性高攻擊路徑原因分析2種情況：外部人員運(yùn)維筆記本同時(shí)/非同時(shí)接入生產(chǎn)大區(qū)與管理大區(qū)網(wǎng)絡(luò)并感染生產(chǎn)大區(qū)與管理大區(qū)主機(jī)，或內(nèi)部人員運(yùn)維筆記本及近期維護(hù)工控系統(tǒng)主機(jī)。接入過(guò)管理大區(qū)辦公網(wǎng)的運(yùn)維筆記本又接入生產(chǎn)大區(qū)，或接入過(guò)管理大區(qū)辦公網(wǎng)的維護(hù)工控系統(tǒng)主機(jī)又接入生產(chǎn)大區(qū)。

注：由于外網(wǎng)IPS許可過(guò)期且無(wú)日志記錄，內(nèi)網(wǎng)無(wú)入侵檢測(cè)設(shè)備，無(wú)法排除*早感染源。

（4）應(yīng)急處理方式

a）切斷一切網(wǎng)絡(luò)連接；

b）停止系統(tǒng)服務(wù)里的傳播服務(wù)mssecsvc2.0，及時(shí)刪除C:\Windows\mssecsvc.exe、C:\Windows\tasksche.exe和C:\Windows\qeriuwjhrf病毒源文件；

以上動(dòng)作在現(xiàn)場(chǎng)應(yīng)急處理時(shí)采用自制程序手動(dòng)完成；

c）根據(jù)不同系統(tǒng)版本分別安裝ms17-010**補(bǔ)丁程序。

d）有效性測(cè)試

按該方法對(duì)受感染的計(jì)算機(jī)進(jìn)行病毒查掃之后，通過(guò)試驗(yàn)與測(cè)試發(fā)現(xiàn)，使用抓包程序抓包，并未發(fā)現(xiàn)有異常的網(wǎng)絡(luò)數(shù)據(jù)請(qǐng)求和流量產(chǎn)生，此現(xiàn)可以證明該方法有效可行。

（5）**建議：

a）區(qū)域防護(hù)：各**I區(qū)的系統(tǒng)應(yīng)該進(jìn)行區(qū)域之間的加強(qiáng)訪(fǎng)問(wèn)控制，應(yīng)實(shí)現(xiàn)DCS機(jī)組之間、輔控等各區(qū)域之間邏輯隔離，防火墻應(yīng)該支持端口級(jí)（目前I/II防火墻需要升級(jí)，不支持自定義端口），實(shí)施后可以限制在區(qū)域范圍內(nèi)。

b）網(wǎng)絡(luò)行為審計(jì)：部署管理大區(qū)及生產(chǎn)大區(qū)各部署入侵檢測(cè)系統(tǒng)（目前包括管理大區(qū)核心交換未部署IDS；互聯(lián)網(wǎng)邊界有部署IPS但已過(guò)期），實(shí)施后快速定位網(wǎng)絡(luò)攻擊爆發(fā)的源頭。

c）邊界**提升：加強(qiáng)管理區(qū)主機(jī)補(bǔ)丁升級(jí)、防病毒統(tǒng)一管理（部署終端**軟件）；生產(chǎn)區(qū)邊界非操作員站（如接口機(jī)）開(kāi)啟本地防火墻策略、補(bǔ)丁等即可以防護(hù)本次攻擊，也可以考慮**防護(hù)軟件，實(shí)施后，管理區(qū)可以避免感染、快速定位主機(jī)爆發(fā)的源頭；生產(chǎn)區(qū)主機(jī)邊界如接口機(jī)有一定防護(hù)能力；

d）移動(dòng)運(yùn)維管控：加強(qiáng)內(nèi)部及外部人員的筆記本技術(shù)**管控，采用網(wǎng)絡(luò)隔離設(shè)備防止網(wǎng)絡(luò)攻擊或?qū)Ｓ霉た剡\(yùn)維筆記本接入。

e）主機(jī)**提升：

加強(qiáng)移動(dòng)介質(zhì)的管理，通過(guò)設(shè)置BIOS、注冊(cè)表參數(shù)禁用U盤(pán)或者采用安防系統(tǒng)隔離U盤(pán)，控制系統(tǒng)程序、數(shù)據(jù)備份采用光盤(pán)形式。

控制系統(tǒng)工控機(jī)禁止使用USB口或者拆除不必要的USB口，防止移動(dòng)設(shè)備等通過(guò)USB口接入網(wǎng)絡(luò)內(nèi)。

檢查各控制系統(tǒng)正常運(yùn)行時(shí)電腦需開(kāi)啟的服務(wù)和端口，關(guān)閉不必要的服務(wù)和端口。

定期對(duì)控制系統(tǒng)主機(jī)進(jìn)行補(bǔ)丁升級(jí)等。