事件验证与影响评估显示，虽然Blackjack宣称攻击了87,000个传感器，但根据安全研究团队Team82的分析，实际被直接破坏的是约500-1,700个传感器网关设备。然而，这些网关作为传感器网络的中枢，其瘫痪导致连接的数万个传感器失去监控与控制能力。攻击者采用了前所未有的物理破坏手段，不仅通过软件方式擦除设备固件，更通过位翻转(bit flipping)等技术直接损坏NAND闪存芯片，使设备无法通过常规方式恢复，必须进行物理更换。
Fuxnet攻击揭示了工业传感器网络的系统性脆弱性：一方面，传感器设备普遍缺乏基本的安全防护机制；另一方面，攻击者已经发展出针对传感器硬件层的破坏能力。这一事件标志着OT网络安全威胁从传统的IT系统渗透、PLC控制逻辑篡改，进一步向物理传感器层延伸，形成了"从云端到传感器"的完整攻击链条。
传感器作为OT网络的"神经末梢"，其安全问题直接影响物理世界的安全。在工业环境中，温度、压力、流量等传感器的数据是过程控制系统(PCS)和安全仪表系统(SIS)做出决策的基础。一旦传感器数据被篡改或传感器功能被破坏，可能导致控制系统做出错误判断，轻则影响生产，重则引发安全事故。Fuxnet事件虽未造成公开报道的重大安全事故，但其展示的攻击能力已经为全球关键基础设施运营商敲响了警钟。
工业传感器网络安全问题具有其独特性，这些设备通常设计时以功能安全为先，网络安全考虑不足，且受限于计算资源难以部署传统IT安全防护措施。通过对行业现状的分析，可归纳出传感器网络安全面临的五大核心挑战。
1、协议层面的固有缺陷
工业传感器广泛使用HART、Modbus、Profibus等传统工业协议，这些协议设计于网络安全威胁尚未凸显的年代，普遍缺乏认证、加密和完整性保护机制。以HART协议为例，其"直通模式(passthrough)"允许命令直接到达设备而不经校验，为攻击者提供了便利通道。美国国土安全部资助的LOGIIC项目12研究报告指出，当前的HART和HART-IP协议没有内置任何安全机制，设备不验证接收到的HART命令来源，使得中间人攻击(Man-in-the-Middle)极易实施。
更为复杂的是，不同厂商对协议标准的实现存在差异，特别是厂商自定义命令的使用缺乏规范。Team82在分析Fuxnet攻击时发现，AO SBK公司的传感器使用非标准的Meter-Bus实现，这种碎片化状态使得统一的安全防护策略难以制定，攻击者却可利用协议实现的模糊地带进行攻击。
工业传感器普遍缺乏硬件级安全防护。项目12的调查显示，仅有33%的采样设备配备硬件写保护开关，大多数依赖软件保护机制，而这些机制往往容易被绕过。Fuxnet攻击中，Blackjack组织轻易绕过了AO SBK传感器网关的软件写保护，部分设备甚至在SSH登录横幅中直接显示默认凭证(sbk/temppwd)，暴露出严重的安全管理漏洞。
设备固件更新机制的不安全也是普遍问题。许多传感器设备通过未加密的通道下载固件，且缺乏数字签名验证，使攻击者可植入恶意固件。Fuxnet恶意软件正是通过AO SBK传感器管理软件SBKManager使用的TCP/4321端口专有协议进行传播，该协议同样缺乏基本的安全验证。
现代工业传感器网络架构日益复杂，远程监控需求导致原本隔离的OT设备连接到企业网络甚至互联网。Moscollector案例中，传感器网关通过iRZ RL22w等3G路由器实现远程接入，这些设备直接暴露在互联网上(Shodan显示约4,100台iRZ路由器暴露在互联网中，其中500台开放了Telnet服务)，成为攻击者初始入侵的理想跳板。
IT-OT融合趋势下，传统用于管理IT系统的工具如IMS/AMS(仪器管理系统/资产管理系统)被用于管理传感器设备，但这些系统往往不具备OT环境所需的安全特性。项目12研究证实，攻击者可通过入侵IMS/AMS平台进而操纵连接的传感器设备，而现有的网络监控手段难以检测这类攻击。
4、供应链安全风险加剧
传感器设备的软件供应链安全问题日益突出。许多传感器依赖设备类型管理器(DTM)或设备描述(DD)文件等第三方组件，这些组件常从互联网下载且缺乏完整性验证。LOGIIC研究发现，实际分发和安装DTM软件的方法为供应链攻击打开了大门，恶意组件可通过这一途径进入IMS/AMS平台。
硬件供应链同样存在隐患。Fuxnet事件中，攻击者显然对AO SBK和iRZ的俄罗斯产设备有深入了解，表明地缘政治因素可能加剧供应链风险。当设备厂商与攻击者处于不同国家阵营时，厂商可能无意或有意忽视安全漏洞，甚至留下后门。
5、全生命周期管理不足
工业传感器通常设计有长生命周期(10-15年)，远超过传统IT设备，这使得早期部署的设备难以应对新型威胁。同时，工业环境的认证复杂性导致补丁更新滞后，许多传感器设备从未进行过安全更新。
设备退役管理也不完善，敏感信息如默认凭证、网络配置等常残留在淘汰设备中。Blackjack组织可能通过分析废弃设备获取了Moscollector网络的关键信息，为其攻击提供了便利。
1、攻击全链条分析
初始访问与横向移动方面，Fuxnet攻击展示了高度的战略耐心和技术成熟度。攻击者声称早在2023年6月就渗透进入Moscollector网络，潜伏长达8个月之久(根据元数据分析，至少从2023年10月起已驻留网络)。这种长期潜伏策略使攻击者能够充分了解目标网络架构，识别关键资产，并规划攻击路径。初始入侵向量尚未明确披露，但考虑到目标性质，很可能是通过暴露的3G路由器(iRZ RL22w)或鱼叉式钓鱼攻击实现。
获得立足点后，攻击者系统地进行了网络测绘与凭证窃取，逐步控制Moscollector的IT基础设施，包括VMware ESXi虚拟化平台、文件存储系统、Active Directory域控制器等。值得注意的是，攻击者特别关注了与传感器管理相关的系统，如SMSD(用于触发远程重启的服务)和传感器管理数据库(smvu/smvu2)，为后续OT网络攻击奠定基础。这种IT到OT的渐进式渗透反映了现代OT攻击的典型模式，即通过IT弱点达到OT破坏目的。
Fuxnet攻击在针对传感器网络的技术层面实现了多项突破，其创新性主要体现在三个方面：物理破坏机制、协议层攻击工具和自动化攻击框架。
物理破坏机制方面，Fuxnet超越了传统恶意软件仅破坏数据或软件的范畴，实现了对传感器网关硬件的物理性损坏。其"reaper"模块通过系统命令停止所有远程访问服务(SSH、HTTP、telnet等)，删除整个文件系统，并通过iptables规则阻断网络连接，使设备无法远程恢复。更为关键的是，Fuxnet包含专门的NAND存储破坏例程，通过持续对NAND闪存芯片执行位翻转操作，直至超过其最大写入周期，导致物理损坏。这种攻击不仅使设备无法运行，更大大增加了恢复成本——必须更换物理芯片而非简单重刷固件。
UBI(Unsorted Block Images)卷损毁技术同样具有破坏性。Fuxnet使用UBI_IOCVOLUP ioctl调用欺骗内核，声称将重写UBI卷并写入X字节，但实际上写入X-1字节的随机数据，导致设备无限期等待重写完成。同时，恶意软件用垃圾数据(0xFF)覆盖UBI卷，使文件系统彻底损坏。这种低层级闪存攻击在以往OT恶意软件中极为罕见，显示出攻击者对嵌入式系统深入的理解。
协议层攻击工具方面，Fuxnet集成了专门针对Meter-Bus(M-Bus)协议的模糊测试与泛洪工具。M-Bus是EN 13757标准定义的串行通信协议，广泛用于水表、气表等计量设备。Fuxnet的M-Bus攻击模块实现了两种攻击模式：结构化模糊测试和随机模糊测试。结构化模糊测试生成符合M-Bus协议框架但包含随机字段的数据包，增加被目标解析处理的可能性；随机模糊测试则生成完全随机的数据包，仅保证CRC校验正确以避免被简单丢弃。这种混合模糊测试策略既能触发协议栈深层次的漏洞，又能全面覆盖可能的输入空间。
攻击者还特别指出，他们禁用了smsd服务(用于远程重启传感器网关)，确保M-Bus泛洪会持续进行，直到有人物理关闭网关。这种持久性破坏机制极大增加了恢复难度，因为每个受影响站点都需要物理介入。
自动化攻击框架方面，Fuxnet展示了针对大规模传感器网络的高效攻击能力。攻击脚本接收包含所有目标传感器网关IP地址的列表，通过端口4321(SBKManager使用的专有协议端口)自动部署恶意软件。根据泄露的JSON文件，攻击针对2,659个传感器网关(包括424个MPSB网关和93个TMSB网关)，其中约1,700个被成功攻陷。这种大规模自动化攻击能力在OT环境中前所未见，标志着攻击者从"精确定点攻击"向"大面积覆盖攻击"的战术转变。
3、战术创新与影响
IT-OT杀伤链的协同：Fuxnet攻击完整展示了从IT渗透到OT破坏的全链条能力。攻击者首先完全控制Moscollector的IT基础设施，包括虚拟化平台、文件存储和员工凭证，然后转向OT网络，通过3G路由器(iRZ RL22w)横向移动到传感器网关。这种跨域攻击路径大大扩展了攻击面，使传统OT网络隔离策略失效。
硬件层持久化的破坏：与传统恶意软件不同，Fuxnet追求物理破坏而非隐蔽控制。通过NAND存储破坏和UBI卷损坏，确保设备无法通过常规手段恢复，必须物理更换。这种破坏性战术可能反映了地缘政治背景下网络攻击目标的转变——从情报收集和隐蔽控制转向公开破坏和心理威慑。
模糊测试的武器化应用：Fuxnet将模糊测试这一传统安全研究技术转化为攻击武器，对87,000个传感器实施大规模自动化模糊测试。这种协议逆向工程与利用能力显示攻击者具备深厚的OT协议专业知识，能够快速分析专有协议并开发针对性攻击工具。
从影响角度看，Fuxnet攻击虽然未造成公开报道的重大安全事故，但其技术影响深远。攻击验证了针对大规模传感器网络实施物理破坏的可行性，展示了从IT到OT的完整攻击路径，并为未来攻击提供了技术蓝图。
1、增强设备级防护措施
硬件安全增强是防御物理破坏攻击的第一道防线。设备制造商应在传感器及网关中集成硬件写保护开关，作为关键配置更改的物理控制点。LOGIIC项目12研究表明，硬件写保护是目前防止未经授权配置更改的最有效手段。同时，应选用具有抗磨损特性的存储芯片，或通过固件实现写操作均衡，缓解Fuxnet类NAND攻击的影响。
安全启动与固件验证机制不可或缺。设备应实现基于数字签名的安全启动流程，确保只有经授权的固件能够加载。运行时应定期验证固件完整性，检测到篡改立即触发安全状态。对于资源受限的传感器设备，可考虑轻量级加密算法如ASCON(物联网加密标准)实现完整性保护。
默认凭证消除是最基本但常被忽视的安全措施。设备出厂时应强制要求更改默认口令，禁止使用固定凭证。特别需要避免如AO SBK设备在SSH横幅中显示口令的极端不安全做法。更好的方案是采用证书基认证或基于硬件的安全元件(如TPM)进行设备身份验证。
网络分段与加密对保护传感器通信至关重要。即使协议本身不安全，也可通过附加加密层(如IPsec VPN或MACsec)提供保护。传感器网络应严格划分为独立安全域，域间通过防火墙与单向网关进行控制。特别需要限制3G/4G等远程访问路径，将其置于DMZ区域并实施多因素认证。
异常协议检测有助于发现Fuxnet类模糊测试攻击。可在网络边界部署专门针对工业协议的深度包检测(DPI)引擎，识别异常的M-Bus等协议数据包。对于无法解析的专有协议，至少应监控流量基线异常，如突发的大量串行通信。
3、强化系统架构的纵深防御
纵深防御架构是应对高级威胁的关键。传感器网络应设计多层防护：边缘设备(传感器)侧重物理安全和简单过滤；网关实现协议转换和访问控制；监控系统负责行为分析与异常检测。各层间实施最小权限原则，确保单一节点沦陷不导致全网失守。
IT-OT融合安全需要特别关注。随着IMS/AMS等系统成为IT到OT的桥梁，必须强化这些关键节点的防护：定期打补丁、禁用不必要的服务、实施应用白名单。项目12研究建议，尽可能避免在安全关键应用中使用供应商DTMS，选择更安全的设备描述(DD)文件，并严格验证所有组件的完整性和来源。
安全监控与响应能力对及时发现和遏制攻击至关重要。应部署专门的OT安全监控方案，收集传感器、网关和网络设备的日志，检测异常行为如固件更改、配置变更或通信模式突变。针对Fuxnet类攻击的典型指标包括：异常的NAND写入活动、UBI卷操作、M-Bus协议泛洪等。
4、安全管理不可或缺
供应链安全管理必须纳入整体防御策略。设备采购时应评估供应商的网络安全实践，要求提供软件材料清单(SBOM)和安全开发生命周期(SDL)证据。所有第三方组件(如DTM)应从可信来源获取，并通过数字签名与哈希校验验证完整性。对于高安全场景，应考虑对关键设备进行独立安全评估。
增强安全意识与培训的针对性和常态化。应针对不同角色开展针对性培训：工程师需了解传感器安全配置；操作人员应识别社会工程攻击；管理人员要明白安全决策的影响。特别需要强化物理安全意识，防止攻击者通过接触设备获取敏感信息或直接接入网络。
事件响应计划应专门考虑传感器网络攻击场景。传统IT-centric的IR计划往往不适用OT环境。需要制定针对性的预案，明确当发现传感器被篡改或破坏时的应急步骤：如何隔离受影响设备、切换至备份传感器、评估过程安全影响等。应定期进行红蓝对抗演练，测试防御体系的有效性。
5、实战运营中持续改进提升
安全标准与认证的演进将推动行业整体安全水平提升。相关标准组织应加快制定针对工业传感器的安全标准，明确硬件保护、安全协议、生命周期管理等要求。认证计划如IEC 62443可扩展至传感器设备，通过一致性评估确保产品满足基本安全要求。
安全设计文化需要在设备制造商中培育。从Fuxnet攻击可以看出，许多安全问题源于设计阶段的考虑不周。制造商应采纳"Secure by design"原则，在产品设计初期就考虑威胁模型和安全需求，而非事后追加安全功能。开源安全工具和框架的采用可降低安全开发门槛。
威胁情报共享对提前防范类似攻击至关重要。行业组织应建立传感器安全的信息共享机制，使成员能及时了解新出现的威胁和漏洞。针对地缘政治相关的威胁，如国家背景的黑客组织，政府与行业间的情报协作尤为重要。
Fuxnet攻击标志着OT网络安全威胁进入新阶段，将攻击焦点从传统的PLC和SCADA系统扩展至更基础的传感器层面。这一事件展示了现代OT攻击的全链条能力：从IT渗透到OT破坏，从软件篡改到硬件损毁，从精确打击到大面积覆盖。攻击者Blackjack组织展现出的协议分析、武器开发和自动化攻击能力，代表了当前OT攻击技术的先进水平，很可能成为未来攻击的模板。
防御此类高级威胁需要根本性的思维转变。传统的OT安全假设—如"物理隔离提供足够保护"、"攻击者无法访问专有协议"、"设备本身无需强安全"—已被Fuxnet彻底颠覆。工业界必须认识到，传感器安全已成为关键基础设施防护的关键环节，需要设备厂商、系统集成商和终端用户的协同努力。
参考文献：
1、https://claroty.com/team82/research/unpacking-the-blackjack-groups-fuxnet-malware
2、https://ruexfil.com/mos/
3、https://foresiet.com/blog/unveiling-the-blackjack-groups-fuxnet-malware-a-stealthy-cyber-threat
4、https://www.youtube.com/watch?v=JVWZOMbyLFU
5、https://mp.weixin.qq.com/s/6-H1qf7Zxe6jQMfhHG0H-Q
安帝科技丨ANDISEC
北京安帝科技有限公司是新兴的工业网络安全能力供应商，专注于网络化、数字化、智能化背景下的工业网络安全技术、产品、服务的创新研究和实践探索，基于网络空间行为学理论及工业网络系统安全工程方法，围绕工业网络控制系统构建预防、识别、检测、保护、响应、恢复等核心能力优势，为电力、水利、石油石化、轨道交通、烟草、钢铁冶金、智能制造、矿业等关键信息基础设施行业提供安全产品、服务和综合解决方案。坚持IT安全与OT安全融合发展，坚持产品体系的自主可控，全面赋能客户构建“业务应用紧耦合、用户行为强相关、安全风险自适应、网络弹性稳增强”的主动防御和纵深防御相结合的安全保障体系。
点击“在看”鼓励一下吧
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...