卡巴斯基實驗室專家發(fā)現(xiàn)兩個臭名昭著的威脅組織的網(wǎng)絡(luò)攻擊出現(xiàn)了重疊，其中一個是被認為是BlackEnergy繼任者的GreyEnergy，另一個是Sofacy網(wǎng)絡(luò)組織。這兩個網(wǎng)絡(luò)威脅組織同時使用相同的服務(wù)器，但目的各不相同。

BlackEnergy 和 Sofacy被認為是當今網(wǎng)絡(luò)威脅領(lǐng)域兩個主要的攻擊組織。過去，他們的活動經(jīng)常導(dǎo)致級別的災(zāi)難性后果。BlackEnergy在2015年對烏克蘭電力設(shè)施的攻擊導(dǎo)致了大面積停電，是歷史上臭名昭著的網(wǎng)絡(luò)攻擊之一。另一方面，Sofacy集團對美國和歐洲政府組織以及安全和情報機構(gòu)的多次攻擊造成了嚴重破壞。 之前一直懷疑這兩個組織之間存在關(guān)聯(lián)，但直到現(xiàn)在才被證實。BlackEnergy的繼任者GreyEnergy被發(fā)現(xiàn)使用惡意軟件對主要位于烏克蘭的工業(yè)和關(guān)鍵基礎(chǔ)設(shè)施進行攻擊，而且其使用的惡意軟件在架構(gòu)上與BlackEnergy有很多相似之處。

卡巴斯基實驗室的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全應(yīng)急響應(yīng)小組（ICS CERT）負責工業(yè)系統(tǒng)威脅的研究和清除，該小組發(fā)現(xiàn)兩臺位于烏克蘭和瑞典的服務(wù)器同時與2018年6月被上述兩個威脅組織所使用。GreyEnergy組織使用這些服務(wù)器來存儲釣魚攻擊活動中所使用的一個惡意文件。當用戶打開釣魚郵件中附帶的文本文檔時，該文件會被下載到用戶計算機。與此同時，Sofacy攻擊組織使用這些服務(wù)器充當自己惡意軟件的命令和控制中心。由于兩個組織使用服務(wù)器的時間相對都較短，因此這種巧合表明共享基礎(chǔ)設(shè)施。這一設(shè)想得到了證實，因為這兩個威脅組織在一周后都對同一家公司進行魚叉式釣魚攻擊。不僅如此，這兩個組織使用了相似的釣魚文檔，都是假冒哈薩克斯坦共和國能源部發(fā)送的郵件。

兩個威脅組織共用的基礎(chǔ)設(shè)施被發(fā)現(xiàn)，表明這兩個組織不僅在說俄語上一致，還會相互合作。這一發(fā)現(xiàn)還提供了一個思路，即他們之間的聯(lián)合可能會在攻擊目標和前景方面做出更大發(fā)展。這些發(fā)現(xiàn)為對GreyEnergy和Sofacy的公共知識增添了另一個重要的篇章。業(yè)內(nèi)對他們的戰(zhàn)略、技巧和流程了解得越多，安全專家可以更好地保護客戶抵御復(fù)雜攻擊，“卡巴斯基實驗室ICS CERT安全研究員Maria Garnaeva說。

要保護企業(yè)不受這類威脅組織的攻擊，卡巴斯基實驗室建議客戶采取以下措施：

· 為員工提供專門的網(wǎng)絡(luò)安全培訓，教育他們在打開鏈接以及郵件時一定要仔細檢測鏈接地址。

· 引入安全意識計劃，包括通過重復(fù)模擬攻擊等游戲化培訓進行技能評估和強化

· 實現(xiàn)作為IT一部分的操作系統(tǒng)、應(yīng)用軟件和安全解決方案以及企業(yè)工業(yè)網(wǎng)絡(luò)的自動化更新。

部署專門的保護解決方案，該解決方案應(yīng)當具備基于行為的反釣魚技術(shù)以及反針對性攻擊技術(shù)和威脅情報，例如卡巴斯基威脅管理和防御解決方案。該解決方案能夠通過分析網(wǎng)絡(luò)異常，發(fā)現(xiàn)和攔截針對性攻擊，讓網(wǎng)絡(luò)安全團隊能夠?qū)W(wǎng)絡(luò)完全可見，實現(xiàn)響應(yīng)自動化。

Read thei full version of the Kaspersky Lab ICS CERT report here.

要閱讀卡巴斯基實驗室ICS CERT的完整版報告，請點擊這里。