年度盘点 | 2020重大网络安全事件 · 能源篇

能源关系国家安全与基本民生，近年来针对石油、天然气以及核的 APT 事件时有发生，网络安全状况不容乐观。2020 年，我们观察到针对能源行业的网络攻击呈增长趋势，这其中主要包含各种勒索软件以及商业木马攻击。

Burisma Holdings 是一家位于乌克兰基辅的能源勘探和生产公司。在 2019 年 11 月初开始的定向网络钓鱼攻击中，攻击者通过窃取 Burisma Holdings 及其下属子公司和合作伙伴公司员工的电子邮件凭证，利用电子邮件账户中的数据以及操作权限进行网络钓鱼活动。为了确保了钓鱼活动的成功，攻击者将使用的木马伪装成 Burisma Holdings 常用业务相关应用程序，以迷惑 Burisma Holdings 员工。对这场针对 Burisma Holdings 的攻击活动的战术、技术和过程（TTP）进行分析发现，攻击者专注于仿冒凭据，主要在 Ititch、NameSilo、namebeach 和 Yandex 注册恶意域名。

参考链接：

据 Recorded Future 报告，其通过网络流量分析技术检测到一家欧洲能源部门组织的邮件服务器和 PupyRAT 的 C2 存在通信，时间发生在 2019 年 11 月至 2020 年 1 月 5 日之间。PupyRAT 是一个开源，使用 Python 编写的跨平台和多功能的后渗透工具，曾被伊朗背景的多个 APT 组织使用。

为应对 PupyRAT 类 RAT 的威胁，应加强安全策略，如引入多因子认证、使用强密码、监视账户的异常登录行为等。

参考链接：

美国政府发布安全公告称，美国的一家天然气压缩运营商遭勒索软件攻击。公告并未说明勒索攻击是何时发生的，只是总结了该事件并为其它关键基础设施运营者提供了技术指导，以防类似攻击活动再次发生。该公告指出：网络威胁行动者使用了一个鱼叉式钓鱼链接获取对该组织机构信息技术网络的初始访问权限，之后跳转到其运营技术（OT）网络。

企业应该加强员工的网络安全意识训练，并且加强企业的内部网络安全监控，尤其是生产网络。

参考链接：

https://us-cert.cisa.gov/ncas/alerts/aa20-049a

2020 年 4 月，发生了两起针对能源及其垂直行业的鱼叉式钓鱼邮件攻击活动。攻击者利用精心伪造的电子邮件投递 Agent Tesla 间谍软件。Agent Tesla 间谍软件自 2014 年以来不断改进和更新，可通过公开渠道购买。3 月 31 日，攻击者以埃及国有石油公司 Enppi 之名发送电子邮件，邮件中邀请收件方为某真实存在的项目设备和材料投标，并标明投标截止日期。对了解该项目的石油和天然气行业人士而言，极易被引诱打开邮件中用于投递 Agent Tesla 间谍软件的恶意附件，该间谍软件会收集各种类型的凭据等敏感信息，受害国家包括马来西亚，伊朗和美国。第二次攻击发生在 4 月 12 日，攻击者以某油轮之名向收件人索要预估港口使用费等信息，该油轮真实存在，受害者大部分为菲律宾的货运公司。

参考链接：

能源巨头 EDP Renewables North America（EDPR NA）在 4 月 13 日证实遭到勒索软件攻击，该攻击影响了母公司 Energias de Portugal（EDP）的信息系统。此次事件涉及的信息包括：有关账单、合同、交易、客户和合作伙伴的机密信息。

Sodinokibi 勒索软件（也称为 REvil）背后的黑客组织攻陷了巴西的电能公司 Light SA，索要 1400 万美元的赎金，以换取一种用于恢复加密文件的工具。Light SA 已向当地一家报纸证实了这一事件，但拒绝透露有关网络攻击的详细信息，只是说“黑客入侵了该系统，并发送了一种加密所有 Windows 系统文件的病毒”。

K-Electric（KE）（前身为卡拉奇电力供应公司/卡拉奇电力供应有限公司）是一家巴基斯坦投资者所有的公用事业公司，负责生产和向消费者提供能源的三个关键阶段——发电，输电和配电。从 9 月 7 日开始，该公司的客户无法访问其帐户的服务。

今年各勒索软件都很活跃，很多大型企业都中招了。各企业应该加强自生对未知威胁的防御能力，将威胁情报纳入企业的安全体系建设。

意大利跨国能源公司 Enel 集团遭到 Netwalker 勒索软件攻击，这是该集团今年遭受的第二次勒索软件攻击。Netwalker 勒索软件操控者声称从 Enel 窃取了 5TB 文件，要求支付 1400 万美元赎金来换取解密密钥，否则将泄露数据。

今年勒索软件泛滥，各大行业都有被勒索软件困扰包括能源金融科研医疗等都被波及。各大企业应该加强自身安全防护，做好数据备份。

攻击者对中东目标特别感兴趣，例如中东供应链中的组织和政府部门，尤其是阿拉伯联合酋长国（ UAE）和卡塔尔。自 2020 年 7 月以来，针对中东石油和天然气行业多个供应链相关组织的针对性攻击有所增加。研究人员发现了以电子邮件附件形式发送恶意 PDF 文件的多个实例，并发现这些恶意文件被用来向这些组织分发窃取信息的木马文件 AZORult。

石油、天然气一直是各国的热门话题，尤其是在中东，各国势力再次纷争。但中东地区互联网发展程度较低，安全防御能力也相对较低。与中东有业务往来的企业应该更加做好自身的网络安全。

日本核监管局（NRA）暂停了其电子邮件系统，并在网站上发布了一条通知，要求人们通过电话或传真与之联系，该中断很可能是由网络攻击引起的。日本当局已对该事件进行了调查。美国政府警告说，有一个与朝鲜有关联的 APT 组织针对美国、韩国和日本收集有关核政策和制裁的情报。日媒报道称，一个未知的第三方设法获得了对日本核监管局网络的未经授权的访问。

核安全一直是国际热门话题，与核相关的网络系统及部门也被各国的势力重点关注。各相关机构部门也应做好自身的安全，防止被渗透给自身带来安全隐患。

“2020全球重大网络安全事件盘点·互联网篇”将于下期发布，敬请持续关注。