伊朗黑客部署 IOCONTROL 恶意软件，攻击美国和以色列的物联网和 OT 设备

臭名昭著的伊朗黑客组织 CyberAv3ngers 涉嫌对美国和以色列的一系列物联网 (IoT) 和 OT (Operational Technology) 设备发动网络攻击。这些攻击背后定制的恶意软件被称为 IOCONTROL，旨在渗透关键基础设施，这引起了网络安全专家和政府的警惕。

国家支持的对关键基础设施的威胁

CyberAv3ngers 自称是一个黑客组织，与伊朗伊斯兰革命卫队 (IRGC) 有关联。该组织此前曾针对爱尔兰和美国水务设施的工业控制系统 (ICS) 发动攻击，造成严重破坏。例如，在 2023 年对宾夕法尼亚州一家水务公司的攻击中，黑客利用了安全性较差的 ICS，导致供水中断两天。

这些攻击令人担忧的方面是它们依赖基本漏洞。许多 ICS 和 OT 设备都暴露在互联网上，使用默认密码，因此很容易成为攻击者的目标，无需高级黑客技术。这些安全漏洞凸显了薄弱的基础设施保护所带来的持续风险。

IOCONTROL 恶意软件的运作方式

据 Claroty 研究人员称，IOCONTROL 是一种网络武器，专门针对物联网和 OT 环境中的嵌入式 Linux 设备。该恶意软件用途广泛，可针对不同设备进行定制，包括：

• 网络摄像机
• 路由器
• SCADA 系统
• PLC（可编程逻辑控制器）
• 人机界面 (HMI)
• 防火墙

受影响的知名供应商包括 Baicells、D-Link、Hikvision、Phoenix Contact、Teltonika 和 Unitronics 等。这种广泛的目标表明该恶意软件可以利用工业和运营网络中不可或缺的多种类型的设备。

IOCONTROL 通过 MQTT 协议（一种轻量级的机器对机器通信标准）与其操作员进行通信。这使攻击者能够执行任意代码、执行端口扫描并在网络上横向传播恶意软件，从而对受感染系统进行更深入的控制。

近期引人注目的袭击事件

最令人震惊的活动之一发生在 2023 年 10 月，当时 CyberAv3ngers 声称破坏了以色列的 200 个加油泵。这次攻击利用了与加油站管理解决方案公司 Orpak Systems 相关的设备。

Claroty 对 IOCONTROL 的分析揭示了一个从 Gasboy 燃料控制系统（与 Orpak 密切相关）获得的样本，表明该组织可能在 2024 年中期重新启动了其活动。尽管调查仍在进行中，但仍不清楚该恶意软件最初是如何传播的。

更广泛的影响

IOCONTROL 发起的攻击凸显了政府支持的网络攻击越来越关注民用关键基础设施。通过利用物联网和 OT 漏洞，CyberAv3ngers 等组织可以造成大范围破坏，从中断供水到停止燃料分配。这些行动不仅对公共安全构成风险，还会造成地缘政治紧张局势。

作为回应，美国政府已悬赏高达 1000 万美元，以奖励提供线索以识别或逮捕 CyberAv3ngers 相关人员的人员。这凸显了这些网络威胁的严重性以及加强防御措施的迫切需要。

防范 IOCONTROL 及类似威胁

管理物联网和运营技术的组织应采取以下步骤来降低风险：

1. 更改默认凭证：许多攻击都是因为出厂默认密码太弱而得逞的。立即实施强密码策略。
2. 网络分段：将 ICS 和 OT 设备与面向互联网的网络隔离，以限制攻击者的潜在接入点。
3. 定期更新和修补：确保所有设备都运行最新的固件和安全更新。
4. 监控异常：部署入侵检测系统来识别异常活动，例如端口扫描或未经授权的访问尝试。
5. 限制远程访问：限制对 ICS 和 OT 设备的访问，仅允许来自受信任的 IP 地址的连接。

最后的话

IOCONTROL 恶意软件活动清楚地提醒人们物联网和 OT 系统固有的漏洞。随着 CyberAv3ngers 等国家支持的组织越来越多地将关键基础设施作为攻击目标，组织必须采取主动的网络安全措施来防御这些不断演变的威胁。通过保护网络，他们可以防止可能对公共安全和基本服务造成毁灭性影响的攻击。