针对PLC的恶意软件发布，黑客或可发起远程震网式攻击
内容提要
佐治亚理工学院的安全研究人员发现了一款针对PLC的恶意软件，可以对工业控制系统发起类似远程震网式攻击。该恶意软件隐藏在控制器的内存中，易于部署且难以检测。研究人员还发现即使目标PLC处于隔离的网络中，恶意软件也可以建立命令和控制连接。该框架可以作为任何PLC供应商和模型研究中的参考案例。
延伸解读
攻击路径的演变与风险
与传统PLC攻击需要特权访问不同，这种基于网络的恶意软件可通过物理或网络访问HMI初始感染，甚至利用跨源漏洞直接从互联网劫持HMI。这显著降低了攻击门槛，使得远程震网式攻击成为可能，扩大了工业控制系统的攻击面。
持久化机制与检测挑战
恶意软件利用JavaScript深入浏览器缓存，独立于原网页执行，即使文件从服务器删除仍可运行长达24小时。它还能在固件更新、更换HMI或硬件后存活，且能自我销毁或恢复出厂设置以清除痕迹，使得检测和清除极为困难。
潜在影响与攻击能力
一旦部署，恶意软件可滥用PLC的合法API，直接覆盖输入/输出值、更改设定点和安全设置、伪造HMI显示，甚至实时数据外泄。这些能力可能导致工业过程中断或设备损坏，后果严重。
供应商无关框架的意义
研究人员创建了一个与供应商无关的框架，可用于构建和分析基于网络的PLC恶意软件。该框架适用于西门子、艾默生、施耐德电气、三菱电机和艾伦·布拉德利等主流PLC，为未来研究和防御提供了参考案例。
Q&A
这款针对PLC的恶意软件是如何工作的？
该恶意软件隐藏在控制器内存中，利用合法的网络API干扰工业过程，且可以通过物理或网络访问HMI进行初始感染。
研究人员发现的恶意软件有哪些潜在风险？
恶意软件可以覆盖输入/输出值、伪造HMI显示，甚至导致实时数据外泄，造成严重后果。
即使PLC处于隔离网络中，恶意软件如何仍能工作？
恶意软件可以建立命令和控制连接，即使目标PLC处于隔离网络中。
这款恶意软件的初始感染方式是什么？
初始感染可以通过物理或网络访问目标的HMI进行，也可以利用跨源漏洞直接通过互联网部署。
研究人员创建的框架有什么用途？
该框架用于构建和分析基于网络的PLC恶意软件，并可作为任何PLC供应商和模型研究的参考案例。
恶意软件如何确保其在系统中的持久性？
恶意软件可以通过将JavaScript代码深入浏览器缓存，独立于安装它的网页执行，确保在固件更新后仍然存活。
