7.2 乌克兰电网两次网络攻击（BlackEnergy / CrashOverride）

信源等级：L2 权威机构（ESET/Dragos/Mandiant 分析） ｜ 最后核验：2026-09-17 核心来源：IEEE Access 2021 综述、Dragos CRASHOVERRIDE 复盘报告、sechub.in 乌克兰二次断电分析

一、2015-12-23 第一次攻击（BlackEnergy3）

事件档案

项目	内容
时间	2015-12-23 15:30（当地时间）
目标	乌克兰三家配电公司（DSO）SCADA 系统
破坏	7 个 110kV 变电站 + 23 个 35kV 变电站跳闸
影响人口	三个区域（Ivano-Frankivsk、Chernivtsi、Kiev）约 22.5 万人停电数小时
归因	Sandworm（沙虫）组织（别名 TeleBots，俄罗斯背景）

攻击链

钓鱼邮件（"乌克兰总统动员令"主题，恶意宏文档）
→ BlackEnergy3 植入，窃取凭证
→ SMB 协议横向传播（利用防火墙常放行 SMB）
→ 获取 SCADA（配电监控系统）控制权
→ 攻击者手动远程拉闸（断路器跳闸）
→ KillDisk 数据擦除组件破坏取证 + 破坏 UPS 固件（防远程合闸恢复）

技术要点

• BlackEnergy 由 DDoS botnet 演变为模块化 RAT（后门 + 凭证窃取 + 网络发现 + 文件操作 + 自毁 KillDisk）；
• 攻击为人工主导（非全自动恶意软件），攻击者操控间隔 15 分钟以上；
• 破坏远程变电站串口/以太网关固件 → 断电期间不能被远程合闸；
• 相关家族：GreyEnergy（BlackEnergy 继承者）、KillDisk 与 NotPetya 存在关联。

二、2016-12-17 第二次攻击（Industroyer / CrashOverride）

事件档案

项目	内容
时间	2016-12-17 23:53（当地时间）
目标	乌克兰国家电网运营商 Ukrenergo，基辅北部一个 330kV 传输变电站
破坏	断路器全部打开，首都基辅部分地区停电；未供电负荷约 200MW；75 分钟后人工恢复
归因	ELECTRUM（Sandworm 分支攻击团队）
意义	首起公开确认的全自动恶意软件直接攻击电网事件

技术与构件（模块化设计，10+ 模块）

模块	功能
主后门/备用后门	通过 Tor 匿名网络连接 C2；备用后门为”投毒”的 MS Windows 记事本（执行 C2 下发 shellcode）
启动器	按硬编码时间戳自动触发（脱离攻击者控制自动启动）
数据擦除器（Wiper）	修改注册表、破坏 ABB 软件文件路径、阻止后续监控
IEC 101 模块	串口通信控制 RTU，修改断路器状态（闭合→打开）
IEC 104 模块	TCP/IP 版，同上（本次攻击实际奏效模块）
IEC 61850 模块	MMS 协议探测枚举设备、查找 CSW（开关）标签
OPC DA 模块	扫描 ABB OPC 服务器，尝试改变设备状态
DoS 工具	针对 Siemens SIPROTEC 保护继电器（CVE-2015-5374，端口 50000 发送构造报文致其无响应）；此组件 IP 硬编码字节序错误未奏效

攻击链复盘

钓鱼邮件（2016-12 两到三周前投放）
→ 窃取 VPN/远程访问凭证
→ 利用 data historian（历史数据库）双向流配置错误进入 OT 网络
→ 凭据提升（创建管理员用户）
→ 部署 Industroyer（exe 伪装 .txt）
→ 到点触发：IEC 104 打开断路器 → 停电
→ 擦除器破坏证据 → SIPROTEC DoS 组件（未生效）试图禁用保护继电器
→ 最终目的（Dragos 复盘）：诱使运维手动重启高压设备，在没有保护继电器保护下引发
   变压器/线路危险过流 → 灾难性破坏（数周~数月停电 + 人员伤亡风险）
→ 实际：未遂。可能原因：IP 硬编码错误 / 恢复过快 / 备用保护继电器兜底

关键结论（Dragos：Protection-Focused Attack）

• 这次攻击的真正意图是以保护系统为目标的攻击——瘫痪保护继电器制造二次灾难；
• 恶意软件通过 IEC 101/104 直接操控断路器、对 Siemens SIPROTEC 的 DoS 攻击体现了对电网协议与设备的深度掌握；
• 攻击发生在停电 1 小时后（Wiper + SIPROTEC DoS），符合”人诱 → 二次灾害”的设计。

三、两次攻击对比与行业启示

维度	2015 BlackEnergy3	2016 CrashOverride
攻击自动化	人工主导（远程操纵）	全自动（硬编码触发）
技术深度	中（凭据 + SCADA 界面操作）	高（工业协议直接操作 + 固件漏洞利用）
目标层次	配电 SCADA（L2/L3）	传输变电站（L1/L2）+ 保护系统
防护启示	VPN 凭证保护、SCADA 访问控制	协议白名单、网络分段、保护系统独立隔离、补丁管理（SIPROTEC CVE 早 2015 年公开但仍未打补丁）

四、来源引用

1. IEEE Access 2021 综述：DOI 10.1109/ACCESS.2021.3133348（2015/2016 事件技术拆解）
2. Dragos：CRASHOVERRIDE Reassessing the 2016 Ukraine Electric Power Event as a Protection-Focused Attack
3. sechub.in：复盘网络战——乌克兰二次断电事件分析（ESET/Dragos 信息汇总）
4. ESET：Industroyer 恶意软件技术分析