工业互联网网络安全情况通报（2024年第7期）

一、工业互联网安全监测情况

2024年7月，经监测发现网络攻击事件共44.82万次，环比上升7.5%，共涉及335家工业企业。截至7月末，监测联网工业企业3212家，其中重点工业企业540家。

从网络攻击类型方面看，网络嗅探占比最大，共41.05万次，占网络攻击总数的91.6%，环比上升6.4%。WEB攻击事件数量排名第二，占网络攻击总数的1.7%；非法外联事件数量增幅最大，环比上升109.3%；挖矿事件数量降幅最大，环比下降77.3%。

从网络攻击来源方面看，由境外IP发起的网络攻击42.98万次，占网络攻击总量的95.9%，以美国、英国和德国等国家居多。其中源自美国的最多，发起网络攻击25.86万次，占境外网络攻击总数的60.2%。

二、工业互联网网络安全分析

（一）非法外联分析

2024年7月，监测发现重点工业企业非法外联事件1670次，占重点工业企业网络攻击总数的0.6%，环比上升22.5%。对非法外联事件进行分析，外联通信次数前三的恶意IP分别为: 23.254.166.237、193.32.16.234和185.215.113.66，威胁类型均为恶意程序远控端，主动外联存在网络安全风险，疑似感染木马后门，建议企业根据威胁通报将恶意IP在网络出口拦截通信，及时对内网主机进行病毒查杀。

（二）木马后门分析

2024年7月，监测发现重点工业企业遭受的木马后门攻击数共4958次，占重点工业企业网络攻击总数的1.8%，环比上升10.3%。活跃的木马后门威胁对象主要为Sality backdoor Trojan Activity Event in DNS Lookup(amsamex.com)，木马后门危害较大，涉及到的工业企业应高度重视，积极整改处置。

（三）挖矿事件分析

2024年7月，监测发现重点工业企业挖矿事件数共410次，占重点工业企业网络攻击总数的0.1%，环比下降76.4%。对挖矿事件分析发现，通信次数较多的矿池IP为13.248.169.48、43.129.150.140。挖矿事件是主机被渗透成功获取服务器权限后，植入挖矿木马，造成计算资源和电力资源的大量消耗，同时加大企业数据泄露风险，企业应高度重视，及时整改处置。

三、重点工业企业网络安全通报

省通信管理局开展工业互联网安全威胁监测与通报，指导督促工业企业整改修复网络安全威胁。2024年7月，向5家重点工业企业下发威胁信息处置通知单和安全分析报告，网络安全通报案例如下：

案例1：贵州某企业存在远程代码执行漏洞

2024年7月，工业互联网安全漏洞检测发现贵州某企业的管理系统（https://117.**.185:****）存在HTTP.sys远程代码执行漏洞(CVE-2015-1635)，当攻击者向受系统发送特殊设计的HTTP 请求，HTTP.sys 未正确分析时就会导致此漏洞，成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。建议企业及时安装官方补丁：https://support.microsoft.com/zh-cn/kb/3042553。

案例2：贵州某企业感染挖矿木马

2024年7月，监测发现贵州某企业IP（117.*.*.24、117.*.*.17）遭受网络攻击感染挖矿木马，存在与矿池IP(129.226.111.18、43.132.140.100、43.129.150.214、43.129.150.155和43.129.150.140)的通信流量，从流量特征识别出挖矿行为，挖矿客户端软件为XMRig/6.20.0-C3Pool (Linux x86_64) libuv/1.44.2，感染挖矿木马的主机为Linux操作系统。建议企业立即核查局域网中与矿池IP通信的主机，对主机进行病毒查杀，漏洞扫描与修复，清除后门、异常进程、服务、系统账号和计划任务等。