工業網絡安全公司OTORIO當地時間9月6日公布了GhostSec黑客組織的詳細信息，該組織控制了以色列國內組織和平臺上的55個Berghof 可編程邏輯控制器 (PLCs)。OTORIO公司表示，上周曾被觀察到針對以色列組織和平臺的GhostSec在社交媒體及其 Telegram頻道上宣布，該組織已成功攻陷了這些設備。

　　“在其發布的消息中，GhostSec附上了一段視頻，展示了成功登錄到PLC的管理面板，以及顯示其當前狀態和PLC進程控制的HMI屏幕圖像，以及顯示PLC已被阻止了，”OTORIO研究團隊負責人David Krivobokov在公司博客文章中寫道。

　　OTORIO評估說，這種安全漏洞在OT（運營技術）環境中可能非常危險，因為它們會影響物理過程，在某些情況下甚至會導致危及生命的情況。“雖然GhostSec聲稱是一次復雜的網絡攻擊，但這里回顧的事件只是一個不幸的案例，工業系統中容易被忽視的錯誤配置，導致了一次極其簡單的破壞系統本身的嘗試。”

　　Krivobokov觀察到，雖然HMI可能沒有被GhostSec訪問或操縱，黑客也沒有利用Modbus接口，但它顯示出對OT域的不熟悉。“據我們所知，GhostSec并未對受影響的系統造成嚴重損害，只是試圖引起人們對黑客活動組織及其活動的關注，”他補充道。

　　盡管此事件的影響很小，但這是一個很好的例子，可以通過簡單、正確的配置輕松避免網絡攻擊。例如，禁止將資產公開暴露在互聯網上，并保持良好的口令策略，尤其是更改默認登錄憑據，會阻止攻擊者的破壞嘗試失敗。

　　OTORIO團隊觀察了ZIP 檔案（part_1.zip 和 part_2.zip）的已發布系統轉儲，其中揭示了受影響PLC的公共IP地址。“這表明這些設備已經/公開暴露在互聯網上。兩個檔案都包含相同類型的數據——系統轉儲和HMI屏幕截圖，它們直接從Berghof管理面板導出。該面板在設計上具有此功能，允許登錄用戶創建備份并通過屏幕截圖查看當前的 HMI 狀態。”

　　Krivobokov說，在公司進行調查時，這些IP仍然可以通過互聯網訪問。對管理面板的訪問受密碼保護。但是，嘗試一些默認值和常用憑據即可登錄成功。“只需訪問“屏幕截圖”選項卡，即可截取和查看HMI屏幕截圖。只需訪問管理面板中的“系統轉儲”選項卡即可完成系統轉儲，”他補充道。

　　OTORIO今年早些時候發布了2022年OT網絡安全調查報告的結果，該報告揭示了網絡犯罪本身的增長，以及在網絡防御中發揮越來越積極作用的政府推動的立法和法規監管的收緊。在加速向互聯生產車間發展的過程中觀察到了這些因素，尤其是在遠程操作和供應鏈管理方面。

　　上個月，另一家工業網絡安全供應商Claroty的研究人員開發了一種稱為Evil PLC Attack的新技術，其中PLC被武器化并用于破壞工程工作站。在工程工作站上立足的攻擊者可以訪問工程師連接該機器的OT網絡上的任何其他設備，包括其他PLC。攻擊的目標是從事工業網絡、PLC配置和故障排除的工程師，這些工程師的工作是確保公用事業、電力、水和廢水、重工業、制造和汽車等關鍵行業的流程的安全性和可靠性。