九游老哥云
新型PLC蠕虫病毒及应对战略
2016-09-08
随着“互联网+制造”的工业4.0看法的提出 ，自力、隔离的古板工控领域迎来了新的大数据互联时代 。与此同时 ，工控清静的问题 ，也随着互联 ，被更普遍的袒露在了Internet中 。在Shodan、ZoomEye等搜索网站中 ，可以很容易的搜索到真实工控现场工控装备的IP地点 ，并且可以使用组态软件会见到对应的装备 。近几年来 ，越来越多的工控装备被袒露在了互联网上 。
在Black Hat2011 ，Dillon Beresford等人在他们的报告《Exploiting Siemens Simatic S7 PLCs》中演示了怎样通过西门子S7Comm协议的权限缺失误差来远程操作PLC 。在Black Hat2015 ，Johannes Klick 等在他们的报告《Internet-facing PLCs – A New Back Orifice》中演示攻击者怎样通过署理 ，来发明内网中更多的PLC装备 。本文将展示的是一种新型的PLC蠕虫病毒 ，该病毒可以不借助上位PC机 ，仅通过PLC之间举行相互撒播 。该病毒的实现思绪 ，适用于多个厂家的PLC装备 ，并且可以在一定规则规模内相互举行撒播 。本文接纳西门子PLC举例举行说明 。
西门子PLC简介
PLC全称为Programmable Logic Controller ，即可编程逻辑控制器 ，是一种接纳一类可编程的存储器 ，用于其内部存储程序 ，执行逻辑运算、顺序控制、准时、计数与算术操作等面向用户的指令 ，并通过数字或模拟式输入/输出控制种种类型的机械或生产历程 。西门子作为全球PLC市场占有率最高的PLC装备厂家 ，其产品系列主要包括S7-200、S7-300、S7-400、S7-1200、S7-1500等 。其中S7-200、S7-300、S7-400系列的PLC接纳早期的西门子私有协议S7Comm举行通讯 。S7Comm协议已被研究者完全掌握 ，并且在github上可以下载到该协议的插件 。S7-1200系列固件版本为V3.0以下的PLC接纳西门子新一代的S7Comm-Plus协议举行通讯 。该协议接纳了一些特殊编码规范 ，并且做了抗重放攻击的防护 。可是其清静防护仍然较弱 ，已被基本破解 。S7-1200系列固件版本为V3.0以上 ，以及S7-1500系列的PLC ，接纳了最新的S7Comm-Plus协议 ，该协议比照之前S7Comm-Plus协议 ，接纳了加密算法 ，现在仍未被研究透彻 。
西门子PLC通过Step7以及WinCC软件举行组态 ，现在最新版本为TIA Portal V13 。其中使用Step7举行下位机组态 ，WinCC举行上位机组态 。
在Step7组态软件中 ，用户通过编写POU程序块来完成工业现场的控制以及工艺流程的实现 。西门子POU程序块包括：
OB（Organization Block ）：组织块 ，为用户程序的入口程序块
FB（Function Block）：功效函数块 ，实现一些封装好的函数功效
FC（Function）：函数块 ，为用户编写的程序
DB（Data Block）：数据块 ，用来存放全局变量
SFB（System Function Block）：系统功效函数库 ，系统内部封装的函数块
SFC（System Function）：系统函数库 ，系统内部封装的函数
Step7程序块的组态语言包括LD（梯形图） ，FBD（功效块图）、SCL（结构化控制语言）、STL（语句列表） 。
西门子PLC在举行程序下装的历程中 ，首先会在下装前阻止PLC的运算 ，下装程序完成后再重新启动PLC 。
病毒的实现
关于病毒的实现流程 ，首先选择IP实验建设毗连 ，若是毗连建设乐成 ，则检查目的PLC是否已被熏染 。如毗连未建设乐成 ，或目的PLC已被熏染 ，则选择新IP重新实验建设毗连 。如目的PLC未被熏染 ，则阻止目的PLC ，下装病毒程序 ，最后重新启动目的PLC 。流程如图1所示 。
病毒实现流程
寻找目的
所有的西门子PLC通过102端口举行TCP通讯 ，因此可以通过实验建设102端口的TCP通讯来举行目的的寻找 。Step7组态软件中提供了两个FB块 ，TCON以及TDISCON ，如图2所示 。TCON用来建设TCP毗连 ，其中REQ输入管脚通过上升沿信号触发 ，CONNECT输入管脚设置TCON建设毗连的如对端IP、对端端口号 ，本机端口号 ，通讯方法等相关参数 。TDISCON用来断掉TCP毗连 ，REQ上升沿触发 。
图3为实验建设毗连的FC块 ，首先使用TCON块建设毗连 ，若是建设乐成 ，即输出管脚DONE为TRUE时 ，则置状态字con_state为20 ，继续下一步病毒的撒播熏染操作 。如一连200次建设毗连不乐成 ，则置状态字con_state为0 。
使用TCON块实验建设毗连
如毗连未乐成建设或病毒撒播完成 ，即状态字con_state为0时 ，则使用TDISCON做断开毗连操作 ，若是输出管脚ERROR或输出管脚DONE为TRUE时 ，将TCON输入管脚CONNECT中的对端IP末位加一 ，并使用该新IP再次实验建设毗连 。实现历程如图4所示 。
使用TDISCON举行毗连的断开并更改IP
乐成建设毗连后 ，首先判断目的PLC是否已经熏染该病毒 ，通过TSEND功效块发送相关数据报文 ，并对返回的报文举行判断 ，如未被熏染 ，则继续执行病毒的撒播历程 ，如已熏染 ，则置状态字con_state为0 ，重新替换IP实验建设毗连 。
检测目的PLC是否已熏染病毒
撒播熏染
正常情形下 ，博途软件会对PLC举行程序的下装操作 ，而下装历程正式使用了西门子私有的S7协议 。在西门子PLC简介章节中提到西门子S7Comm协议以及早期的S7Comm-Plus协议已可以被研究者熟悉使用 。因此在撒播熏染阶段 ，可以凭证S7协议的内容 ，通过伪造博途软件下装程序的报文 ，可以实现PLC到PLC的程序传输操作 。也就是说已熏染病毒的PLC向目的PLC发送下装程序块的报文 ，而目的PLC识别到报文后 ，误以为是博途软件对其举行下装 ，最后会将报文中的相关功效块存储在PLC中 。
Step7组态软件中使用TSEND功效块举行数据的发送 ，使用TRCV功效块举行数据的吸收 ，如图6所示 。在TSEND块中 ，REQ输入管脚上升沿触发 ，DATA为需要发送的数据区 。在TRCV中 ，EN_R上升沿触发 ，DATA为吸收数据的存储区 ，RCVD_LEN为现实吸收到数据的长度 。
发送及吸收数据功效块
在程序的发送历程中 ，需要知足S7协议的相关通讯时序以及报文名堂 。图7所示为S7建设毗连的历程 。首先是TCP的三次握手 ，接下来建设COTP毗连 ，建设完成后举行S7协议的毗连建设 。建设乐成后可以使用S7协议举行启停PLC、下装程序、PLC中数据读写等正常操作 。
S7协议通讯时序
S7通讯协议应用层数据封装模子如图8所示 ，其中：
TCP：即传输控制协议 ，是一种面向毗连（毗连导向）的、可靠的、基于IP的传输层协议 ，在IETF的RFC 793标准中举行界说 。
ISO-ON-TCP：即基于TCP的ISO传输服务 ，在在IETF的RFC1006标准中举行说明 。
ISO Transport protocol：即ISO传输协议 ，在ISO8073中举行说明 。
S7协议应用层数据漫衍
图9为下装程序块的S7Comm数据报文 ，其中0x32为S7Comm协议标识符 ，Protocol Data Unit Reference为协议数据单位标识符 ，在S7Comm协议中用作通讯历程的时序标记 。Function标识了该数据报文的功效 。Data报文区为所对应功效块的内容 。
功效块下装数据报文
在博途软件中 ，使用FC功效块实现毗连的建设 ，寻找新的目的IP ，判断目的PLC是否已被熏染病毒 ，并举行病毒程序的撒播等功效 。使用一个DB数据块存放FC功效块中所用到的所有全局变量 ，使用另外一个DB数据块存放病毒熏染所有历程所需要的报文内容 。
激活
建设挪用病毒程序的OB块OB9999 ，并将其存植入到目的PLC中 ，用以激活病毒 ，并举行新的病毒撒播熏染 。西门子PLC在运行时 ，会凭证从OB1到OB9999的顺序举行挪用 。如图10所示 。
西门子PLC程序挪用办法
恶意功效的实现
- C&C服务器
- 一旦PLC被熏染病毒 ，会基于TCP自动去毗连C&C服务器 。通过C&C服务器 ，可以远程控制PLC ，包括PLC的启停 ，输出值的改变等 。
- Socks4署理
- 一旦PLC被病毒熏染 ，在局域网中的其他PLC ，可以通过Socks4署理毗连到C&C服务器 。
- 拒绝服务攻击
- 可以向PLC中下装例如死循环、除零或者负数开方的程序 ，让PLC阻止事情 。
- 改变输出值
- 可以通过编写正常的PLC程序 ，来改变输出值 ，进而影响现场装备的正常运行 。
检测与防护
病毒的检测
- 使用博途软件
- 博途软件提供了PLC程序在线与离线差别的检测功效 ，如图11所示 。程序块后面的绿色圆圈体现在线程序与离线程序一致 ，蓝色与橘黄色组成的圆形体现在线程序与离线程序纷歧致 。
博途软件对程序在线离线一致性的检测
- 视察PLC的状态灯
- 下装程序的历程中会导致PLC的阻止与启动 ，在此时代 ，所有模拟量数值与开关量状态会坚持稳固 。然后该时间仅有几秒钟 ，操作员可能会忽视该细节 。
- 使用工控漏扫装备
- 使用工控漏扫装备对PLC举行扫描 ，由于病毒程序必需使用较大编号的OB块 。因此扫描较大编号的OB块可以对病毒举行检测 。
- 检测网络
- 在病毒举行撒播的历程中 ，网络中会泛起PLC与PLC通讯的数据报文 ，凭证该异常报文可以检测出病毒测保存 。
- 病毒的存活性
- 重启PLC
- 病毒为正常的程序块 ，因此重启PLC后 ，该病毒仍保存于PLC中 ，并且正常运行 。
- 恢复到出厂设置
- 恢复到出厂设置会清空PLC中的所有程序 ，因此病毒程序连同正常程序一起会被清空 。
- 下装程序
若是有正常的OB9999组织块 ，或者与病毒同编号的FC块、DB块的下装 ，则病毒会被新下装的程序笼罩 ，并且不会再次被熏染
病毒的防护
- 设置权限密码
- 工控厂商关于自己产品 ，在协议层设置权限密码 ，没有密码的清空下 ，不可以使用协议来与PLC建设通讯毗连 。
- 在工控系统中安排IDS/审计系统
- 安排IDS/审计系统 ，通过工控协议特征值的收罗、剖析与识别 ，如发明异常数据包 ，则纪录日志或报警
- 安排工控防火墙
- 通过工控防火墙 ，对异常数据包举行检测以及隔离防护
