Phân tích sự kiện tấn công mạng INDUSTROYER.V2 (Tháng 4/2022)

[nktung]

Industroyer2 (còn được Mandiant gọi là INDUSTROYER.V2) là biến thể malware công nghiệp nguy hiểm, được nhóm APT Sandworm triển khai trong một cuộc tấn công nhằm vào lưới điện Ukraine vào tháng 4 năm 2022. Đây là mã độc kế thừa từ Industroyer (còn gọi là CrashOverride) – loại malware từng gây ra sự cố mất điện tại Kiev năm 2016. Bài viết này phân tích chi tiết kiến trúc kỹ thuật của Industroyer.V2, tác động thực tế đến hệ thống ICS/SCADA trong vụ tấn công tháng 4/2022, các biện pháp phòng ngừa/phát hiện, so sánh với biến thể Industroyer ban đầu và cách Industroyer.V2 lợi dụng giao thức công nghiệp IEC 104 để thực thi các lệnh điều khiển trái phép. Nội dung được trình bày theo phong cách kỹ thuật chuyên sâu, phù hợp làm tài liệu đào tạo hoặc báo cáo kỹ thuật nội bộ.​

Kiến trúc của mã độc INDUSTROYER.V2 và kỹ thuật tấn công​

Industroyer.V2 được thiết kế chuyên biệt để tấn công hệ thống điều khiển công nghiệp. Khác với phiên bản Industroyer 2016 có kiến trúc mô-đun phức tạp, Industroyer.V2 được triển khai dưới dạng một tập tin thực thi Windows duy nhất (trong sự cố Ukraine 2022, mã độc được đặt tên tệp là "108_100.exe"). Mã độc này không còn là framework với nhiều mô-đun riêng lẻ, mà là một payload tự chứa tích hợp sẵn chức năng ICS. Cụ thể, Industroyer.V2 chỉ tập trung vào giao thức IEC 60870-5-104 (IEC-104) thay vì hỗ trợ nhiều giao thức ICS khác nhau như biến thể 2016. Điều này đồng nghĩa nó đã lược bỏ các thành phần thừa, chỉ giữ lại những gì cần thiết để giao tiếp với thiết bị điện trong trạm điện thông qua IEC-104 – giao thức điều khiển/giám sát từ xa phổ biến tại châu Âu và Trung Đông cho lưới điện.

Một điểm đáng chú ý trong kiến trúc Industroyer.V2 là cấu hình tấn công được nhúng cứng trong thân mã độc. Toàn bộ tham số cấu hình đều được lưu dưới dạng chuỗi Unicode trong file thực thi. Thiết kế này khác với Industroyer 2016, vốn sử dụng file cấu hình rời, định dạng .INI để điều khiển hành vi. Với Industroyer.V2, kẻ tấn công phải biên dịch lại malware cho từng môi trường/nạn nhân mới, tích hợp các tham số phù hợp với hệ thống mục tiêu. Tuy nhiên điều này không phải trở ngại lớn, bởi thực tế dòng Industroyer đến nay mới chỉ được triển khai hai lần vào năm 2016 và 2022. Việc nhúng cấu hình vào mã giúp nhóm tấn công tùy biến nhanh payload cho mỗi nạn nhân, đồng thời giảm thiểu việc phải mang theo nhiều file cấu hình riêng lẻ.

Về mặt kỹ thuật tấn công, Industroyer.V2 cho phép điều khiển đồng thời nhiều thiết bị ICS trong mạng. Mẫu malware phân tích được chứa danh sách 8 địa chỉ IP thiết bị mục tiêu trong cấu hình, và khi chạy sẽ tạo các luồng riêng để giao tiếp song song với từng thiết bị. Nhờ đó, chỉ với một lần thực thi, malware có thể đồng loạt gửi lệnh điều khiển tới nhiều rơ-le bảo vệ hoặc RTU/IED trong các trạm điện cao áp. Trước khi thực hiện kết nối ICS, Industroyer.V2 thực hiện một kỹ thuật quan trọng: nó chấm dứt tiến trình hợp pháp đang chạy trong hệ thống, cụ thể là một ứng dụng vận hành SCADA/ICS hợp lệ và đổi tên file thực thi của ứng dụng đó bằng hậu tố “.MZ”. Việc này nhằm ngăn ứng dụng điều khiển hợp pháp tự động khởi động lại, qua đó vô hiệu hóa sự can thiệp của giao diện SCADA chính thống. Nói cách khác, malware đảm bảo rằng trong thời gian nó hoạt động, các phần mềm quản lý lưới điện của kỹ sư vận hành sẽ bị tắt hoặc tê liệt, từ đó giành quyền điều khiển duy nhất đối với thiết bị công nghiệp mục tiêu. Thủ thuật này chứng tỏ kẻ tấn công đã hiểu rất rõ hệ thống nạn nhân, biết ứng dụng nào thường chạy để quản lý trạm điện và cố tình tắt ứng dụng đó để chiếm quyền kiểm soát.

Industroyer.V2 được lập trình kích hoạt theo kịch bản định trước thay vì chờ điều khiển tương tác từ xa. Trong sự cố tháng 4/2022, malware này đã được lên lịch để tự động chạy vào một thời điểm xác định. Thời gian biên dịch file mã độc được xác định là ngày 23/03/2022, cho thấy nhóm tấn công đã chuẩn bị sẵn malware ít nhất 2 tuần trước khi kích hoạt tấn công. Industroyer.V2 khi chạy sẽ kết nối tới các thiết bị đích qua giao thức IEC-104 và gửi các lệnh điều khiển chi tiết về loại lệnh sẽ được phân tích ở phần sau. Mã độc có khả năng ghi log hoặc in ra màn hình console quá trình thực thi, nhưng thay vì thông điệp dễ hiểu, nó chỉ xuất các mã lỗi dạng số nhằm gây khó khăn cho việc phân tích ngược. Sau khi hoàn thành nhiệm vụ gửi lệnh điều khiển, Industroyer.V2 không tự ẩn mình tinh vi mà dựa vào việc xóa dấu vết thủ công. Tóm lại, kiến trúc và kỹ thuật của Industroyer.V2 tập trung vào tấn công nhanh gọn: thâm nhập trước vào mạng OT, chuẩn bị sẵn payload ICS được cấu hình riêng, đợi thời cơ kích hoạt để gửi lệnh phá hoại, và cuối cùng phá hủy bằng chứng.
​

Tác động của cuộc tấn công đến hệ thống ICS/SCADA (lưới điện Ukraine)​

Hình 1: Sơ đồ chuỗi tấn công Industroyer2 (2022) do Sandworm thực hiện, cho thấy malware ICS Industroyer2 được triển khai cùng nhiều mã độc phá hoại (wiper) trên hạ tầng IT và OT của một nhà cung cấp điện Ukraine. Mục tiêu là làm mất điện tại các trạm cao áp và phá hỏng hệ thống điều khiển, gây gián đoạn dịch vụ và khó khăn cho việc khôi phục. Nguồn welivesecurity.​

Cuộc tấn công sử dụng Industroyer.V2 tháng 4/2022 nhắm vào mạng lưới điện cao áp của Ukraine, cụ thể là các trạm điện thuộc một công ty cung cấp năng lượng. Nếu thành công, hậu quả trực tiếp sẽ là mất điện trên diện rộng do các máy cắt tại trạm bị ngắt đồng loạt. Phân tích mã độc cho thấy Industroyer.V2 được “đo ni đóng giày” để tác động đến các máy cắt điện tại những trạm nhất định, qua việc gửi lệnh điều khiển ngắt tới các thiết bị này. Khi một máy cắt tại trạm cao áp bị mở, nguồn điện truyền tải qua trạm đó sẽ bị ngắt, hiệu quả là cắt điện toàn bộ khu vực mà trạm phụ trách. Nhóm chuyên gia Netresec mô tả rằng Industroyer.V2 sau khi kết nối được vào RTU ở trạm đích đã ngay lập tức thay đổi trạng thái các output tại các địa chỉ IOA cụ thể mà không cần dò tìm gì thêm, tức malware đã biết sẵn “tọa độ” của các thiết bị quan trọng cần tấn công. Chẳng hạn, trong một mẫu phân tích, malware mở tất cả các output tương ứng với IOA từ 1250 đến 1265 về trạng thái OFF. Với loại lệnh điều khiển có mã ID 46 và độ dài xung ngắn, các chuyên gia nhận định đây chính là lệnh mở máy cắt được thực thi tức thời. Nói cách khác, Industroyer.V2 có thể cắt điện tức thì tại trạm mục tiêu, gây sự cố mất điện cục bộ cho khu vực mà trạm đó phụ trách.

May mắn là trong sự kiện tháng 4/2022, cuộc tấn công đã bị chặn đứng kịp thời và hậu quả thực tế được giảm thiểu. Đội ứng cứu khẩn cấp Ukraine phối hợp cùng chuyên gia ESET và Microsoft đã phát hiện và vô hiệu hóa malware trước khi nó kịp thực thi giai đoạn phá hoại cuối cùng. Theo báo cáo, kẻ tấn công đã xâm nhập hệ thống từ sớm và lên kế hoạch kích hoạt phá hoại vào chiều tối Thứ Sáu ngày 08/04/2022. Lịch trình cho thấy 16:10 (UTC) ngày 8/4 Industroyer2 sẽ chạy để cắt điện, và 10 phút sau (16:20), chúng dự kiến kích hoạt malware xóa dấu vết trên chính máy đã chạy Industroyer2 nhằm phi tang và gây khó phục hồi hệ thống. Nhờ các biện pháp ứng cứu kịp thời, kịch bản “mất điện vào tối thứ Sáu” đã không xảy ra. Tuy nhiên, ngay cả khi không gây ra mất điện thực tế, cuộc tấn công vẫn gây ra một số gián đoạn hoạt động và đặt hệ thống vào tình thế nguy hiểm: các malware độc hại đã được cài cắm sâu trong mạng lưới IT và OT, buộc nhà vận hành phải tạm dừng một số hệ thống để xử lý, đồng thời tiến hành khôi phục và kiểm tra an ninh trên diện rộng.

Một khía cạnh nghiêm trọng của cuộc tấn công là việc kết hợp phá hoại hệ thống IT/OT song song với hành vi điều khiển trái phép ICS. Bên cạnh Industroyer.V2, nhóm Sandworm đã triển khai nhiều malware wiper (xóa phá hủy dữ liệu) trên các máy chủ và máy trạm của công ty điện lực Ukraine. Cụ thể, malware CaddyWiper được sử dụng trên các máy tính Windows bao gồm cả máy trạm vận hành SCADA, nó xóa dữ liệu người dùng và thông tin phân vùng, làm máy mất khả năng khởi động. Phiên bản CaddyWiper trong vụ này còn được tùy biến để nhắm vào các máy trạm SCADA/HMI, khiến giao diện điều khiển quá trình công nghệ bị vô hiệu. Đồng thời, các wiper tên ORCSHRED, SOLOSHRED, AWFULSHRED được thả vào hệ thống máy chủ Linux và Solaris, nhằm xóa sạch hệ điều hành và dữ liệu trên đó. Nhóm Sandworm thậm chí phát tán một worm có tên ORCSHRED, lợi dụng SSH để lây lan wiper sang nhiều máy khác trong mạng nội bộ. Mục tiêu của chiến dịch phá hoại này là làm tê liệt hoàn toàn hạ tầng công nghệ thông tin và vận hành của công ty điện lực, khiến quá trình khôi phục sau khi mất điện gặp muôn vàn khó khăn.

Tác động thực tế của Industroyer.V2 đối với hệ thống ICS/SCADA là rất nghiêm trọng. Trước hết là gián đoạn dịch vụ cung cấp điện: Nếu các trạm cao áp bị ngắt, khu vực tương ứng sẽ chìm trong bóng tối cho đến khi nhân viên vận hành đóng lại các máy cắt và khôi phục nguồn. Thứ hai là sự cố vận hành và an toàn: Việc các thiết bị ICS bị điều khiển trái phép có thể gây mất cân bằng trong lưới điện, ví dụ như ngắt điện đột ngột có thể làm quá tải các phần khác của lưới hoặc gây dao động tần số. Thậm chí, Industroyer 2016 từng được lập trình để đóng/ngắt máy cắt liên tục nhiều lần trong thời gian ngắn, hành vi này có thể gây sốc điện áp và hư hỏng thiết bị, cũng như làm hệ thống bảo vệ mất đồng bộ, ảnh hưởng đến độ ổn định của lưới điện. Thứ ba, hành vi xóa phá hạ tầng ICS/IT đi kèm khiến rủi ro an toàn tăng cao: Hệ thống SCADA và các trạm vận hành bị xóa sổ đồng nghĩa với việc trung tâm điều độ mất khả năng giám sát & điều khiển từ xa, các biện pháp ứng phó sự cố phải thực hiện thủ công tại chỗ trong điều kiện khẩn cấp. Điều này không chỉ kéo dài thời gian mất điện mà còn đe dọa an toàn cho nhân viên vận hành phải thao tác trực tiếp trên thiết bị điện cao áp. Tóm lại, mặc dù cuộc tấn công Industroyer.V2 tháng 4/2022 đã được ngăn chặn, nó cho thấy rõ nguy cơ hiện hữu: các nhóm APT có khả năng gây ra sự cố hạ tầng diện rộng và lâu dài đối với hệ thống điều khiển công nghiệp nếu không được phát hiện kịp thời.​

Phòng ngừa và phát hiện mã độc Industroyer.V2​

Cuộc tấn công Industroyer2 một lần nữa gióng lên hồi chuông cảnh báo về an ninh cho các hệ thống ICS/SCADA. Dưới đây là các biện pháp kỹ thuật giúp phòng ngừa và phát hiện loại mã độc tấn công ICS phức tạp như Industroyer và biến thể Industroyer.V2:​

• Phân đoạn mạng và kiểm soát truy cập chặt chẽ: Cần tách biệt mạng IT và mạng OT tối đa, chỉ cho phép những kênh giao tiếp thực sự cần thiết giữa hai vùng. Triển khai tường lửa hoặc thiết bị kiểm soát Industrial DMZ với chính sách whitelist (danh sách cho phép) các giao thức/địa chỉ IP được phép.​
• Giám sát mạng ICS bằng DPI và phát hiện bất thường: Triển khai các công cụ giám sát lưu lượng mạng có hỗ trợ Deep Packet Inspection cho giao thức ICS. Khi thiết lập baseline hành vi, hệ thống giám sát sẽ cảnh báo nếu phát hiện hoạt động bất thường, chẳng hạn: một máy trạm văn phòng bỗng dưng gửi lệnh điều khiển IEC-104, hoặc một loạt lệnh “cắt điện” được gửi vào thời điểm và tần suất phi logic. Trong trường hợp Industroyer2, việc một tiến trình lạ gửi đồng loạt lệnh đóng/ngắt máy cắt chắc chắn là bất thường so với hoạt động SCADA bình thường. Bên cạnh đó, công cụ DPI cũng giúp phát hiện các quét tìm/di chuyển ngang của mã độc: ví dụ phát hiện lưu lượng SSH bất thường trên các cổng không điển hình. Việc giám sát và cảnh báo kịp thời những bất thường này cho phép cô lập sự cố trước khi kẻ tấn công kịp ra tay.​
• Hệ thống phát hiện xâm nhập và chữ ký IoC: Sử dụng các hệ thống IDS/IPS có cập nhật chữ ký tấn công ICS. Ngay sau sự kiện Industroyer2, các tổ chức như CERT-UA, ESET, Mandiant đã công bố danh sách Indicators of Compromise và quy tắc phát hiện cho malware này. Do đó, doanh nghiệp nên cập nhật cơ sở dữ liệu cho các IDS/IPS/AV để nhận diện sớm tập tin hoặc lưu lượng liên quan đến Industroyer.V2.​
• Bảo vệ thiết bị và máy trạm ICS: Trên các máy trạm HMI/SCADA và server ICS, nên áp dụng cơ chế Application Whitelisting, chỉ cho phép chạy các ứng dụng đã được xác thực phục vụ vận hành, chặn thực thi mọi file lạ. Điều này có thể ngăn chặn malware như Industroyer2 không khởi chạy được trên máy chủ SCADA, trừ khi kẻ tấn công đã vô hiệu hóa được whitelisting. Bên cạnh đó, đảm bảo các hệ thống Windows trong mạng ICS được vá các lỗ hổng bảo mật để giảm nguy cơ kẻ tấn công xâm nhập và cài cắm malware. Việc sử dụng mật khẩu mạnh, xác thực đa yếu tố cho tài khoản quản trị domain và tài khoản VPN cũng là biện pháp cần thiết để phòng chống việc sử dụng thông tin đăng nhập đánh cắp. Ngoài ra, cần cô lập khả năng auto-run hoặc schedule task trái phép: cấu hình hệ thống để gửi cảnh báo nếu có Scheduled Task mới được tạo hoặc có dịch vụ hệ thống bị dừng một cách đáng ngờ.​
• Kế hoạch ứng phó sự cố và sao lưu hệ thống: Do đặc thù hệ thống công nghiệp không thể ngừng hoạt động lâu, các đơn vị vận hành ICS cần chuẩn bị sẵn kế hoạch ứng cứu sự cố (IR Plan) chi tiết cho kịch bản bị tấn công mạng. Kế hoạch này bao gồm quy trình cô lập mạng OT ngay khi phát hiện dấu hiệu xâm nhập , chuyển sang chế độ vận hành thủ công để duy trì an toàn, và thông báo cho đội phản ứng khẩn cấp chuyên về ICS. Định kỳ tổ chức diễn tập ứng cứu sự cố trên giả lập các kịch bản như malware tấn công SCADA, nhằm nâng cao khả năng phối hợp giữa bộ phận CNTT và vận hành OT. Bên cạnh đó, sao lưu offline các cấu hình thiết bị quan trọng và lưu trữ tại vùng an toàn. Trong trường hợp kẻ tấn công kích hoạt wiper phá hủy dữ liệu có sẵn bản backup sẽ giúp khôi phục hệ thống nhanh chóng, giảm thiểu thời gian gián đoạn.​

So sánh Industroyer 2016 và Industroyer.V2 2022 ​

1. Bối cảnh xuất hiện hai biến thể​

Industroyer lần đầu được phát hiện trong sự cố mất điện ở Kiev năm 2016 và trở thành một trong những malware OT gây tác động thực tế hiếm hoi. Sáu năm sau, Sandworm tái sử dụng kiến trúc này để phát triển Industroyer.V2, triển khai tại Ukraine vào tháng 4 năm 2022 trong bối cảnh chiến sự. Sự xuất hiện cách nhau nhiều năm cho thấy Sandworm chủ động tái chế vũ khí ICS khi điều kiện chiến lược phù hợp.

2. Khác biệt về kiến trúc: đa mô-đun vs. tối giản​

Industroyer 2016 được xây dựng theo mô hình đa mô-đun với bốn giao thức công nghiệp (IEC‑101, IEC‑104, IEC 61850, OPC DA), kèm các thư viện DLL và file cấu hình riêng. Trong khi đó, Industroyer.V2 giảm toàn bộ xuống một tệp thực thi duy nhất, chỉ còn hỗ trợ IEC‑104. Cấu hình tấn công được nhúng trực tiếp trong mã, buộc kẻ vận hành phải biên dịch lại nếu muốn thay đổi mục tiêu. Điều này cho thấy sự tối ưu hóa theo hướng nhẹ, ít dấu vết và nhắm mục tiêu rõ ràng hơn.

3. Thành phần phụ trợ trong chuỗi tấn công​

Biến thể 2016 đi kèm đầy đủ “bộ công cụ” gồm backdoor, launcher và wiper, tạo khả năng tự động hóa toàn bộ chuỗi tấn công từ IT sang OT. Ngược lại, Industroyer.V2 không tích hợp bất kỳ backdoor nào. Sandworm sử dụng hạ tầng ngoài (nghi dùng tài khoản Active Directory, PowerShell và các công cụ truyền thống) để xâm nhập, sau đó tải và kích hoạt Industroyer.V2 bằng Scheduled Task. Bản 2022 hoạt động như payload cuối, không còn vai trò tổ chức đòn tấn công từ đầu đến cuối.

4. Mục tiêu tác động và hiệu quả thực tế​

Năm 2016, Industroyer gây mất điện tại Kiev trong khoảng một giờ, đánh dấu tác động vật lý hiếm thấy của malware ICS. Trong chiến dịch 2022, Industroyer.V2 chưa gây ra mất điện vì bị phát hiện trước khi kích hoạt hàng loạt lệnh ngắt. Tuy vậy, mẫu mã độc được triển khai cùng nhiều thành phần wiper nhằm tạo đợt tấn công kết hợp, hướng đến mục tiêu làm gián đoạn lưới điện trên quy mô lớn.

5. Kỹ thuật lạm dụng giao thức IEC‑104​

Industroyer.V2 không khai thác lỗ hổng mà lạm dụng đặc tính tin cậy của IEC‑104 – giao thức điều khiển giữa SCADA và thiết bị hiện trường vốn không có xác thực hoặc mã hóa. Malware thiết lập phiên giao tiếp hợp lệ, giả làm SCADA master rồi gửi lệnh Select/Execute hoặc Single/Double Command đến các IOA được lập trình sẵn. Trong chiến dịch 2022, mẫu được cấu hình để ngắt 16 breaker tại một substation và thêm 8 breaker tại substation khác, tạo kịch bản cúp điện tức thời nếu không bị dừng kịp thời.

6. Kịch bản tấn công nâng cao​

Biến thể 2016 từng hỗ trợ lặp lại chuỗi đóng–ngắt liên tục nhằm gây dao động và tạo bất ổn trên hệ thống bảo vệ. Industroyer.V2 vẫn giữ khả năng này ở cấp mã, nhưng chiến dịch 2022 chỉ cấu hình theo hướng đơn giản: gửi lệnh ngắt đồng loạt và phối hợp wiper để khiến quá trình khôi phục phức tạp hơn. Tư duy “tối ưu cho chiến trường” là điểm nổi bật của biến thể 2022.

7. Vai trò của APT Sandworm xuyên suốt​

Cả hai sự cố đều quy kết rõ ràng cho Sandworm – nhóm thuộc đơn vị 74455 (GRU). Nhóm có lịch sử tấn công vào cơ sở hạ tầng trọng yếu từ 2015 đến nay, bao gồm BlackEnergy, cuộc tấn công 2016, NotPetya 2017 và botnet Cyclops Blink. Việc tái sử dụng Industroyer sau sáu năm khẳng định rằng Sandworm không chỉ phát triển công cụ mới mà còn duy trì kho “vũ khí ICS” có thể kích hoạt bất cứ lúc nào.

8. Bài học phòng thủ từ hai biến thể​

Sự khác biệt giữa hai phiên bản giúp nhận diện xu hướng phòng thủ: giảm phụ thuộc vào giao thức không có xác thực, triển khai giám sát hành vi ở lớp OT, giới hạn quyền điều khiển từ xa, và xây dựng cơ chế xác thực hai chiều giữa SCADA và thiết bị. Vì Industroyer không khai thác lỗ hổng mà lợi dụng đúng chức năng, phòng thủ truyền thống ở lớp mạng IT không đủ để ngăn chặn.

Nguồn tài liệu tham khảo:
Các phân tích kỹ thuật và báo cáo từ ESET, CERT-UA, Mandiant, Cisco, Nozomi Networks và Netresec.​