：工业领域网络平安警报——俄罗斯400多家工业公司遭遇鱼叉式攻击真相

因为工业4.0的此次攻击的背景、手段、影响及防御策略，为工业企业提供可落地的平安防护指南。

一、攻击事件全景：400家工业公司为何成为“猎物”？

机系统发起攻击，涉及员工数量高达800余人。攻击目标并非随机选择， 而是精准锁定与工业生产相关的企业和机构，包括制造业、石油和天然气、冶金、工程、能源、建筑、采矿及物流等多个关键行业。这些企业普遍具有共同特征：高度依赖工业控制系统、 企业内部网络与生产网络存在物理或逻辑连接、财务系统与供应链管理系统集成度高，且员工对网络平安威胁的识别能力相对薄弱。

1.1 攻击时间线：从潜伏到爆发的持续渗透

本次攻击呈现出“长期潜伏、持续渗透”的特点。卡巴斯基实验室的研究人员发现， 攻击者的活动并非一次性事件，而是分阶段进行的：2017年秋天攻击者开始向目标企业发送首批钓鱼邮件；2018年初，攻击规模扩大，恶意软件开始大规模传播；至2018年6月，攻击已进入成熟阶段，部分受害企业出现资金被盗和数据泄露的实质性损害。需要留意的是 早在2015年，就有类似攻击模式的记录，表明攻击者可能具备长期针对工业领域进行攻击的经验和资源储备。

1.2 受害行业分布：关键基础设施成“重灾区”

攻击者对目标行业的选择极具策略性。从卡巴斯基实验室提供的数据来看， 制造业、石油和天然气、能源成为受害最严重的三大行业，三者合计占比高达75%。这一分布并非偶然——这些行业不仅是国民经济的支柱， 更关乎国家能源平安和工业命脉，其控制系统一旦被攻击，可能导致生产停滞、设备损坏甚至平安事故。比方说 石油和天然气企业的管道控制系统、制造业的生产施行系统、能源企业的电网调度系统，均成为攻击者重点渗透的目标。

受害行业	占比	典型目标系统
制造业	32%	生产施行系统、 CAD/CAM系统
石油和天然气	28%	管道控制系统、钻井平台监控系统
能源	15%	电网调度系统、发电厂DCS
冶金/工程	12%	高炉控制系统、自动化生产线
其他	13%	供应链管理系统、施工监控系统

二、攻击手段深度解析：鱼叉式钓鱼如何“精准命中”？

鱼叉式网络钓鱼之所以被称为“工业领域最凶险的攻击手段”，核心在于其高度的“定制化”和“迷惑性”。本次攻击中， 攻击者通过深入研究目标企业的业务流程、组织架构和员工角色，精心设计钓鱼邮件内容，结合恶意附件和远程控制工具，实现了对目标系统的“无声渗透”。

2.1 钓鱼邮件：成“商业邀请函”的致命诱饵

攻击者将钓鱼邮件成合法的商业报价、 采购订单或会计信函，邮件主题和内容与目标企业的实际业务高度相关。比方说 针对石油天然气企业的邮件可能包含“管道设备采购合同”，针对制造业企业的邮件可能涉及“零部件供应报价”，甚至能够精准提及目标公司的具体项目名称、合作方名称以及财务细节。这种“量身定制”的内容极大降低了员工的警惕性， 卡巴斯基实验室的报告指出，超过85%的钓鱼邮件因内容“看似合法”而被目标员工打开。

邮件附件是攻击的关键入口。攻击者主要使用两种类型的恶意附件：一是成PDF、 Word或Excel文档的恶意宏文件，二是压缩包内的可施行文件。当用户启用宏或解压并运行附件时恶意代码会自动施行，在系统中植入远控软件或信息窃取木马。需要留意的是 攻击者还会在邮件中嵌入恶意链接，引导用户访问仿冒企业官网的钓鱼网站，进一步窃取用户登录凭证。

2.2 恶意软件家族：从信息窃取到远程控制的“完整攻击链”

本次攻击中， 攻击者组合使用了多种恶意软件，构建了从“信息收集”到“远程控制”的完整攻击链。， 主要涉及的恶意软件包括：

• Babylon RAT一款功能强大的远程访问木马，可记录击键、截屏、录制屏幕、窃取浏览器密码及加密货币钱包，并支持远程控制系统进程和注册表。
• Betabot/Neurevt针对金融机构的木马， 擅长窃取网上银行凭证和信用卡信息，本次攻击中被用于获取目标企业的财务系统登录数据。
• AZORult stealer专业的信息窃取工具， 可收集浏览器历史、Cookies、保存的密码、Skype消息等敏感数据，并通过加密通道上传至攻击者的服务器。
• Hallaj PRO RAT支持通过受感染系统进行录音录像、 管理硬件、下载其他恶意软件，并可将系统作为代理服务器隐藏攻击源。

2.3 远程控制工具：合法软件的“恶意滥用”

攻击者除了使用恶意软件外 还“滥用”了合法的远程管理工具，进一步隐藏攻击痕迹。卡巴斯基实验室发现，攻击者在受感染系统中安装了两种主流远程控制软件：TeamViewer和Remote Utilities。这些工具本身是企业常用的远程运维工具， 但其功能被攻击者用于非法目的：远程控制系统、拦截用户流量、窃取文件、管理硬件注册表等。

以Remote Utilities为例， 其提供的功能远超常规远程控制，包括： - 通过外接设备进行录音录像； - 远程管理系统注册表和进程； - 将任意用户文件发送至命令与控制服务器； - 拦截和欺骗用户网络流量。 攻击者通过这些工具， 能够长期潜伏在目标系统中，随时窃取敏感数据或实施破坏操作，而企业平安人员往往难以将其与恶意活动区分。

三、攻击者画像：谁在幕后操纵“工业猎手”？

尽管攻击者刻意隐藏身份， 但卡巴斯基实验室通过技术分析和语言特征研判，对攻击者的背景和动机做出了初步推测。这些推测不仅有助于理解攻击本质，也为工业企业的威胁情报共享提供了参考。

3.1 组织特征：熟悉俄语的“专业犯法集团”或APT组织

从攻击手段的复杂程度来看， 本次攻击的组织者极可能是一个分工明确、技术能力高超的犯法集团，甚至可能是国家级APT组织。卡巴斯基实验室指出， 攻击者至少部分成员对俄语十分熟练，这体现在两个方面：一是钓鱼邮件的撰写完全符合俄语商业信函的格式和用语习惯，能够精准使用行业术语；二是对目标企业财务数据的修改需要深厚的俄语语言和文化背景，否则极易被财务人员识破。

需要留意的是 历史上针对俄罗斯工业企业的类似攻击中，曾出现过名为“Sandworm”的APT组织。该组织由俄罗斯政府支持，擅长使用鱼叉式钓鱼和恶意软件攻击能源、电力等关键基础设施。尽管本次攻击尚未直接证实与Sandworm有关， 但攻击模式的重合度表明，两者可能存在关联或受同一攻击思想影响。

3.2 攻击动机：从“数据窃取”到“资金欺诈”的双重目标

攻击者的动机并非单一，而是呈现出“数据窃取”与“资金欺诈”并行的特点。攻击者更直接的目的是通过控制财务系统实施资金欺诈。具体流程如下：

1. 信息收集：通过钓鱼邮件和恶意软件获取目标企业的采购文件、 财务软件数据及银行账户信息；
2. 身份伪造：利用窃取的数据伪造供应商身份，修改付款账户为攻击者控制的账户；
3. 资金转移：通过远程控制工具向财务部门发送伪造的付款指令，诱导其将资金转入指定账户；
4. 痕迹清除：转移资金后删除系统中的恶意文件和操作日志，逃避追查。

卡巴斯基实验室的报告显示， 部分受害企业所以呢遭受了严重的经济损失，单笔被盗金额最高达数百万美元。还有啊，敏感数据的泄露还可能导致企业核心技术被窃、商业信誉受损，甚至引发国家平安风险。

四、 攻击影响：从经济损失到工业平安的连锁反应

鱼叉式网络钓鱼攻击对工业企业的影响远不止“数据泄露”或“资金被盗”，而是可能引发。

4.1 短期影响：直接经济损失与业务中断

最直接的损失是财务资金被盗。攻击者通过伪造付款指令， 将本应支付给合法供应商的资金转入自身账户，导致企业现金流紧张，甚至影响正常采购和生产。比方说某冶金企业因采购款被窃，导致原材料供应中断，生产线被迫停工3天直接经济损失超过500万美元。还有啊， 恶意软件的传播可能导致企业内部网络瘫痪，员工无法访问生产管理系统、财务系统或邮件服务器，造成业务效率下降。

4.2 长期影响：核心技术泄露与品牌信誉受损

工业企业的核心竞争力往往体现在生产技术、工艺流程和产品设计上。攻击者通过窃取技术文档、 CAD图纸、工艺参数等数据，不仅可能用于仿制产品，抢占市场份额，还可能将这些数据出售给竞争对手，导致企业长期处于技术劣势。一边，数据泄露事件一旦曝光，将严重损害企业品牌信誉。客户可能质疑企业的数据保护能力， 转而选择竞争对手；合作伙伴也可能因担心数据平安而终止合作，进一步加剧企业的经营困境。

4.3 宏观影响：关键基础设施平安威胁

石油、 天然气、能源等工业领域属于国家关键基础设施范畴，其控制系统一旦被攻击，可能引发连锁反应。比方说 攻击者若渗透到天然气管道的监控系统，可能伪造传感器数据，导致管道压力异常，引发爆炸或泄漏事故；若入侵电网调度系统，可能恶意调整负荷分配，造成大面积停电。尽管本次攻击中未发现直接针对生产控制系统的破坏行为， 但攻击者已具备渗透企业内部网络的能力，未来极有可能升级为对工业控制系统的直接攻击，对国家平安构成严重威胁。

五、 防御策略：构建“纵深防御”体系抵御鱼叉式攻击

面对鱼叉式网络钓鱼攻击的持续威胁，工业企业必须摒弃“单点防御”的思维，构建涵盖“人员、技术、流程”的纵深防御体系。室的研究和工业网络平安最佳实践，

5.1 人员层面：强化平安意识与技能培训

人是网络平安的第一道防线，也是最容易突破的薄弱环节。工业企业需定期开展针对性的平安培训， 重点提升员工对钓鱼邮件的识别能力：

• 培训内容通过案例分析，教授员工识别钓鱼邮件的“红色信号”；模拟钓鱼演练，让员工在实战中提高警惕。
• 培训对象重点培训财务人员、 采购人员、生产管理人员等高频接触敏感数据和外部邮件的岗位，将其列为“高风险岗位”进行专项考核。
• 培训频率每季度至少开展1次全员培训， 高风险岗位每2个月开展1次强化培训，确保平安意识深入人心。

5.2 技术层面：部署多层次平安防护工具

技术防护是抵御攻击的核心屏障， 工业企业需构建覆盖“邮件入口终端网络”的全链路防护体系：

防护层级	防护工具	核心功能
邮件网关	邮件平安网关	过滤钓鱼邮件、扫描附件恶意代码、识别仿冒发件人
终端防护	EDR工具	检测恶意软件行为、阻断未知威胁、实时响应终端异常
网络边界	防火墙、IPS、DLP	隔离内外网、阻断恶意流量、监控敏感数据传输
身份认证	MFA、单点登录	强化登录平安、减少密码泄露风险

5.3 流程层面：完善平安管理制度与应急响应机制

健全的平安管理制度是技术防护有效落地的保障。工业企业需从以下方面完善平安流程：

• 权限最小化原则严格限制员工访问权限， 遵循“按需分配”原则，避免使用管理员账户进行日常操作；财务系统实施“双人复核”机制，大额付款需经财务总监和总经理双重审批。
• 软件白名单管理仅允许经过审批的软件在企业终端运行， 禁止员工私自安装远程控制工具或来历不明的软件，从源头减少恶意软件传播途径。
• 应急响应计划制定详细的网络平安事件应急响应预案， 明确事件上报流程、处置步骤和责任人；定期组织应急演练，确保在攻击发生时能够快速响应，将损失降到最低。

六、 行业启示：工业网络平安“新常态”下的挑战与机遇

俄罗斯400多家工业公司遭遇鱼叉式攻击的事件，并非孤例，而是全球工业领域网络平安风险的缩影。因为工业互联网的普及，攻击面不断扩大，工业企业面临的网络平安威胁日益复杂。行业需重新审视网络平安战略，从被动防御转向主动防御，从技术防护转向生态共建。

6.1 关键基础设施保护需上升到国家战略高度

工业控制系统作为国家关键基础设施的核心，其平安直接关系国计民生。本次事件表明， 单靠企业自身的力量难以应对国家级APT组织或专业犯法集团的攻击，亟需政府、企业、平安厂商协同发力。建议政府部门出台针对性的工业网络平安法规， 明确企业平安责任；建立国家级工业威胁情报共享平台，及时预警新型攻击；加大对关键基础设施网络平安的投入，支持企业进行平安改过。

6.2 平安需融入工业全生命周期

传统工业企业在产品设计、 建设、运维过程中，往往将网络平安作为“附加项”，导致平安防护与业务需求脱节。未来 企业需将平安理念融入工业全生命周期：在产品设计阶段采用“平安优先”原则，内置平安模块；在建设阶段部署“平安分区、纵深防御”的；在运维阶段通过持续的平安监测和漏洞修复，防护策略。唯有如此，才能构建与业务深度融合的平安体系。

6.3 构建工业网络平安“生态共同体”

面对复杂的网络威胁，任何单一企业都难以独善其身。工业企业需与平安厂商、行业协会、科研机构建立深度合作，共同应对平安挑战。比方说 与平安厂商合作定制针对工业场景的防护方案，参与行业威胁情报共享，联合开展攻防演练；与科研机构合作研究工业控制系统漏洞挖掘技术，提升自主防护能力。通过构建“生态共同体”， 实现威胁情报、技术资源、防护能力的共享与协同，提升整个工业领域的网络平安水位。

筑牢工业网络平安防线， 守护“制造强国”基石

俄罗斯400多家工业公司遭遇鱼叉式网络钓鱼攻击的事件，为全球工业领域敲响了警钟。在数字化转型的浪潮下工业企业的网络平安已不再是“选择题”，而是“必答题”。唯有强化人员平安意识， 部署多层次技术防护，完善平安管理制度，并从国家、行业、企业三个层面构建协同防御体系，才能有效抵御鱼叉式攻击等新型威胁，守护工业生产的“神经中枢”。

对于中国企业而言， 借鉴本次事件的经验教训，加快推进工业互联网平安保障体系建设，既是应对当前平安挑战的迫切需求，也是实现“制造强国”战略的重要保障。网络平安是一场持久战， 唯有常抓不懈、主动防御，才能为工业数字化转型保驾护航，筑牢国家经济平安和国家平安的重要基石。

---