工业互联网网络安全情况通报（2026年第9期）

一、工业互联网安全监测情况

2026年9月，监测发现工业互联网网络攻击163.48万次，环比下降20.7%，共涉及559家工业企业。

从网络攻击类型方面看，以网络嗅探数量最多，共92.48万次，占网络攻击总数的56.6%，其次为漏洞利用，共18.89万次，占网络攻击总数的11.6%；Dos攻击数量增幅最大，环比上升109.2%，渗透提权数量降幅最大，环比下降54.3%。

从网络攻击来源方面看，监测发现由境外IP发起的网络攻击140.22万次，占网络攻击总量的85.8%，环比上升0.7%，共遭受来自境外121个国家的网络攻击，美国、英国和加拿大等国家居多，其中源自美国的最多，发起网络攻击76.06万次，占境外网络攻击总数的54.2%。

从市（州）遭受网络攻击方面看，本月网络攻击次数排名前三的市（州）为遵义市、六盘水市和安顺市，其中遵义市遭受网络攻击数量最多，共74.17万次，占网络攻击总数的45.4%。

二、工业互联网网络安全分析

（一）木马后门分析

2026年9月，监测发现重点工业企业木马后门攻击3.06万次，占重点工业企业网络攻击总数的2.3%，环比下降30.7%。对木马后门攻击行为分析，最活跃的木马后门威胁对象主要为xred远控木马，远控通信域名为xred.mooo.com；木马后门危害较大，涉及到的工业企业应高度重视，积极整改处置。

（二）非法外联分析

2026年9月，监测发现重点工业企业非法外联2.37万次，环比上升2.8%，占重点工业企业网络攻击总数的1.8%。对非法外联事件进行分析，通信次数最多的恶意IP为185.16.215.189，通信次数最多的恶意域名为auto.c3pool.org，主动外联存在网络安全风险，建议企业根据威胁通报将恶意IP/域名在网络出口拦截通信，及时对内网主机进行病毒查杀。

（三）挖矿事件分析

2026年9月，监测发现重点工业企业挖矿事件0.47万次，占重点工业企业网络攻击总数的0.4%，环比上升34.8%。对挖矿事件分析发现，通信次数较多的矿池IP为141.94.96.144。挖矿事件是主机被渗透成功获取服务器权限后，植入挖矿木马，造成计算资源和电力资源的大量消耗，同时加大企业数据泄露风险，企业应高度重视，及时整改处置。

三、重点工业企业网络安全通报

贵州省通信管理局开展工业互联网安全威胁监测与通报，指导督促工业企业整改修复网络安全威胁。2026年9月，向6家重点工业企业下发威胁信息处置通知单和安全分析报告，网络安全通报案例如下：

案例1：贵州某企业存在挖矿木马通信事件

2026年9月，平台监测发现贵州某企业IP（58.*。*。152）遭受网络攻击感染挖矿木马，存在与恶IP_103.194.186.182、 103.194.186.150、103.194.186.134、 103.194.186.118 的通信流量，从流量特征识别出登录矿池行为{“login”：“49fzyJh446Z9uuAdH1ZMPZGgiiycsvfXGcxBTHDws6ogAi4mPo1Z9F52bF3pdhmq6gK92hbx9gPDQguNz2PKcvsTB8xYnxF”，“pass”：“miner777”，“agent”："XMRig/6.19.3（Windows NT 6.1； Win64； x64） libuv/1.38.0}，感染挖矿木马的主机为Windows 操作系统。建议企业立即核查企业局域网中与矿池IP通信的主机，对主机进行病毒查杀，漏洞扫描与修复，清除后门、异常进程、服务、系统账号和计划任务等。

案例2：贵州某企业存在木马后门事件

2026年9月，平台监测发现贵州某企业IP（111.*。*。93）遭受木马后门网络攻击。存在大量通信流量请求DNS解析恶意域名xred.mooo.com，该域名为XRed木马远程控制端，具备持久化、远程控制、文件感染、U 盘传播能力，主要攻击 Windows系统。建议企业立即排查内网中访问该恶意域名的主机，断网隔离并进行病毒查杀，更新系统补丁。