王勇，王钰茗，张琳，张林鹏

（上海电力学院计算机科学与技术学院，上海 200090）

乌克兰电力系统BlackEnergy病毒分析与防御

王勇，王钰茗，张琳，张林鹏

（上海电力学院计算机科学与技术学院，上海 200090）

2015年12月，乌克兰电力系统遭到BlackEnergy病毒攻击，导致伊万诺—弗兰科夫斯克州地区发生多处同时停电的事故，该病毒也威胁到我国电力系统安全。通过获取不同版本的BlackEnergy病毒样本，构建了分析环境，发现了BlackEnergy攻击方式，并给出了防御方法。

BlackEnergy病毒；病毒分析；入侵防御

1 引言

2015年12月14日，乌克兰的伊万诺—弗兰科夫斯克州地区[1]发生多处同时停电的事件，黑客控制了电力系统，并远程关闭了电网。紧接着，2015年12月27日，乌克兰电力公司网络系统再次遭到黑客攻击，这是首次由黑客攻击行为导致的大规模停电事件，据统计，此次影响导致成千上万的乌克兰家庭无电可用。乌克兰的国家安全局（SBU）表示，这起停电是由黑客以恶意软件攻击电网所造成，2016 年 1 月 4 日，安全公司iSight Partners[2]表示乌克兰电力系统感染了名为BlackEnergy的恶意软件，并且已取得造成该起大规模停电的恶意程序代码。

在此事件发生后的第一时间，由哈尔滨安天科技股份有限公司、北京四方继保自动化股份有限公司与复旦大学创建的联合分析小组正式启动，哈尔滨安天科技股份有限公司[3]对乌克兰电力运行系统和相关样本进行分析后指出，这次乌克兰停电事故是以 BlackEnergy病毒为主要攻击手段，通过BOTNET 体系进行前期的资料采集和环境预置的有目的网络攻击事件；……