OT攻击重大事件复盘分析：从Industroyer到Pipedream，全球工控安全威胁十年演进

概述

2010年至今，全球公开披露的影响工业控制系统的重大安全事件已超过50起。其中9起事件因其技术开创性、影响深远性和防护范式重塑作用，成为所有工控安全从业者必须深入理解的”教科书级”案例：

#	时间	事件	攻击目标	影响
1	2010	Stuxnet（震网）	伊朗纳坦兹核设施	离心机损毁，核计划延迟2-3年
2	2014	Havex / Dragonfly	欧美能源、水利	工业控制系统侦察
3	2015	BlackEnergy 3	乌克兰电网	22.5万户居民断电6小时
4	2016	Industroyer / CrashOverride	乌克兰电网	基辅北部1小时断电
5	2017	Triton / Trisis	沙特石化	Triconex安全PLC被攻击
6	2018	VPNFilter	全球54国50万设备	路由器/网关被植入
7	2020	EKANS	工业制造	工业控制系统定向勒索
8	2021	Conti OT模块	Honda等	工厂停产
9	2022	Pipedream / Incontroller	通用OT	跨平台OT攻击工具包

这些事件改写了全球工控安全的威胁认知、防御策略和产品形态。本文逐一复盘其技术原理、攻击链、行业影响与防护启示。

事件一：Stuxnet（2010）— OT攻击的”开山鼻祖”

背景

2006年起，美国NSA和以色列Unit 8200联合启动”奥运会计划”（Olympic Games），目标是通过网络攻击延缓伊朗核计划。Stuxnet是该计划的产物。

技术原理

• 传播链：通过U盘摆渡（Air-Gap突破）→ Windows快捷键解析漏洞（LNK漏洞CVE-2010-2568）→ 打印机后台打印服务漏洞（MS10-061）→ 局域网共享（SMB）→ 西门子STEP7编程软件。
• 精准目标：仅感染安装了西门子STEP7软件且连接了西门子S7-315/S7-417 PLC的特定主机。
• 破坏机理：通过修改PLC控制逻辑，将离心机的正常转速从1400Hz脉冲性地拉到1600Hz再拉回，持续数周，导致离心机轴承磨损和转子失衡。
• 隐蔽机制：通过修改HMI显示数据，操作员无法察觉离心机异常。
• 传播模块：利用被盗的Realtek/JMicron数字签名证书绕过白名单防护。

行业影响

• 首次证明物理隔离（Air-Gap）并非绝对安全。
• 推动”零信任”概念在OT领域的萌芽。
• 催生了Claroty、Dragos、Nozomi Networks等OT安全专业厂商。

防护启示

• USB端口管控成为OT安全基线
• 应用白名单机制成为终端防护核心
• HMI数据完整性校验得到重视

事件二：Havex / Dragonfly（2013-2014）— OT间谍活动的典型

技术特征

• 利用OPC协议扫描工业网络，识别工控设备
• 在ICS厂商网站上植入水坑攻击（Watering Hole），感染软件更新包
• 远程访问工控系统HMI屏幕，进行侦察
• 加载包含工控设备信息的配置JSON（包含60多种工控设备指纹）

影响

• 1000+欧美能源企业被入侵
• 实际破坏性不强，但为后续攻击奠定情报基础

事件三：BlackEnergy 3（2015）— 首次实战大规模断电

攻击链

1. 鱼叉钓鱼邮件投递 → BlackEnergy恶意软件植入乌克兰电力公司员工
2. 通过VPN凭据窃取进入SCADA网络
3. 使用TeamViewer远程登录HMI
4. 断电操作：操作员执行预先编排的断电程序，同时禁用UPS
5. DoS攻击：拨打客服电话淹没报修渠道
6. 破坏覆盖：使用KillDisk擦除关键系统数据，延缓恢复

影响

• 乌克兰伊万诺-弗兰科夫斯克地区22.5万户居民断电6小时
• 首次由网络攻击导致的、大规模、实际断电事件
• 推动电力行业安全标准升级（NERC CIP重大修订）

事件四：Industroyer / CrashOverride（2016）— 模块化OT攻击框架

技术突破

• 模块化架构：首次实现对OT系统的”通用化”攻击框架，包含4个工业协议适配器（IEC 60870-5-101/104、IEC 61850、OPC DA）
• 协议原生攻击：直接利用工控协议标准指令（如IEC 101/104的Select-Before-Operate），无需PLC程序即可下达断路器分闸指令
• 自动故障恢复对抗：检测断路器自动重合闸机制，反复触发使断路器损坏
• 反取证：使用Timestomp修改文件时间戳，使用LogDel清除日志

影响

• 2016年12月基辅Pivnichna变电站1小时断电（未广泛扩散）
• 未公开工具包于2017年被研究人员获取分析

防护启示

• 协议深度解析（DPI）是检测Industroyer的关键
• 任何不符合工控协议标准的状态机行为都应告警

事件五：Triton / Trisis（2017）— 针对安全系统的攻击

攻击背景

• 攻击目标：沙特石化公司施耐德Triconex安全仪表系统（SIS）
• 安全PLC（Triconex）的设计本意是”最后防线”，用于紧急停车（ESD）
• 攻击者在被检测后停止行动，但工具包流出

技术原理

• 利用Triconex TxShutdown（合法维护工具）的硬编码密钥
• 通过TriStation协议注入恶意梯形逻辑（ladder logic）
• 安全PLC的固件版本和PIN保护机制被绕过

影响

• 理论上：攻击者可禁用安全联锁、伪造紧急停车逻辑、引发物理爆炸
• 实际：未造成人员伤亡，但改变了SIS安全设计哲学

防护启示

• 安全系统必须与控制系统物理隔离（不能仅逻辑隔离）
• 安全PLC的固件版本和PIN管理成为核心审计项
• 任何对SIS的编程操作都应触发最高级别审计

事件六：VPNFilter（2018）— 供应链级的国家级感染

技术特征

• 利用Netgear、TP-Link、Linksys等家用路由器的已知漏洞
• 感染全球54国超过50万设备
• 多阶段载荷：第一阶段持久化、第二阶段情报收集、第三阶段（Slipstream）实现中间人攻击

OT相关性

• 路由器作为小型分支OT网络的网关被感染
• 攻击者可借此进入远程站点的工控网络
• 暴露工控网络的远程运维通道成为APT攻击入口

事件七：EKANS（2020）— 工业勒索软件的兴起

技术原理

• 首批明确针对ICS进程的勒索软件
• 终止ICS特定进程（GE Proficy、Citrix、Siemens等50+个工控相关进程）
• 通过SMB和RDP传播，加密网络共享资源
• 内置ICS资产识别能力

影响

• Honda全球工厂停产1天
• Enel Group（意大利国家电力）等多家能源企业遭攻击
• 标志勒索软件开始系统性针对OT环境

事件八：Conti OT模块（2021）— 勒索软件团伙产业化

攻击模式

• Conti勒索软件团伙采用”勒索软件即服务”（RaaS）模式
• 出售给关联团伙使用，专门针对OT网络
• 通过IT/OT互联漏洞（如CVE-2021-22681 Rockwell认证绕过）渗透OT
• 双重勒索：加密数据 + 公开数据 + 停工损失

标志性事件

• 2022年Kojima Industries攻击：日本汽车零部件供应商，Conti变种加密OT数据导致停产
• Honda多工厂停摆：影响美国、欧洲、印度工厂

事件九：Pipedream / Incontroller（2022）— 史上首个跨平台OT攻击工具包

技术突破

• 覆盖面：同时支持施耐德Modicon、罗克韦尔ControlLogix、欧姆龙Sysmac、西门子S7
• 工具集包含：
  • 字典扫描与资产识别工具
  • PLC程序注入与回滚模块
  • HMI显示覆盖工具
  • 协议级中间人攻击模块

防御方提前发现

• 2022年4月由Dragos和Mandiant联合披露
• 攻击工具集被发现但未发现实际使用案例
• 标志着OT攻击工具的”商品化”趋势

横向对比：9起事件的攻击特征

维度	Stuxnet	BlackEnergy	Industroyer	Triton	EKANS	Pipedream
目标行业	核设施	电力	电力	石化	制造	通用
攻击精度	极高（针对特定PLC型号）	中（标准SCADA）	高（多协议适配）	极高（针对SIS）	低（广撒网）	中（多平台）
核心模块	PLC重编程	HMI远程控制	协议原生指令	SIS梯形逻辑注入	进程终止	多平台工具集
持久化	高（Rootkit）	中（VPN凭据）	低（一次性断电）	中	中	中
情报获取难度	极高	中	中	极高	低	低
归属	美以联合	Sandworm（俄）	Sandworm（俄）	疑似伊朗	未知	疑似俄罗斯

防护启示：从9起事件提炼的OT安全设计原则

1. 物理隔离不是终极防线

Stuxnet用U盘绕过Air-Gap，VPNFilter感染家庭路由器绕过边界。任何依赖单一防护边界的方案都应被重新审视。

2. 协议深度解析是核心能力

Industroyer的攻击向量是标准工控协议指令，传统的基于签名和异常的检测无法识别。必须部署能够理解工控协议状态机的深度解析引擎（如奇固科威的工控防火墙）。

3. 安全系统必须独立

Triton事件证明，安全仪表系统（SIS）必须与控制系统（DCS/PLC）物理隔离，不能仅依赖逻辑隔离。

4. USB端口管控是基础项

Stuxnet之后，全球大型工业企业的USB端口管控成为安全基线。具体措施：

• 禁用未授权USB存储设备
• 所有USB设备使用前必须经专用检查站扫描
• 部署USB管控中间件（如Sophos SafeGuard、奇固终端管控）

5. 主机应用白名单

Stuxnet利用被盗证书绕过传统杀毒软件。白名单机制（仅允许已知合法应用运行）是OT终端防护的核心。

6. 远程访问零信任

BlackEnergy通过VPN进入，Conti利用认证绕过漏洞（CVE-2021-22681等）。所有远程访问OT系统的会话必须经过：

• 多因素认证（MFA）
• 跳板机审计
• 操作录像
• 时段管控（非维护时段禁止）

7. 资产可见性是前提

Pipedream的多平台覆盖能力证明，攻击者对OT资产的识别能力远高于防御方。必须先于攻击者建立完整的OT资产清单和可视化能力。

8. 应急恢复能力兜底

参考Conti对Honda的攻击，再先进的防护也无法保证100%拦截。企业必须具备：

• 关键PLC逻辑的离线备份
• DCS组态的版本管理
• 离线恢复SOP（标准操作程序）
• 季度级恢复演练

数据来源

• CISA ICS Advisories（cisa.gov）
• Dragos Year in Review（dragos.com）
• Mandiant Threat Intelligence（mandiant.com）
• MITRE ATT&CK for ICS（attack.mitre.org）
• 雪人计划（Nozomi Networks）
• NIST SP 800-82 Rev. 3

---

声明： 本文基于CISA、Dragos、Mandiant等公开威胁情报资料整理撰写，旨在帮助工业安全团队提升OT威胁认知水平，不包含任何恶意软件代码、攻击工具或可被复用的漏洞利用细节。所有事件描述均经过脱敏处理，仅作为防御规划和应急演练参考。

本文由 hookwe.com 威胁研究团队撰写

标签：APT攻击IndustroyerTritonPipedream工控安全事件复盘威胁研究
发布：2026-08-28 | 作者：奇固科威威胁研究团队