標題：重新評估網絡攻擊在地緣衝突中的影響力

2022年2月24日之前的重大網絡事件時間表

在現代世界，發動任何類型的軍事行動之前都必將出現大規模的網絡攻擊活動，這反過來可以通過監測潛在衝突地區新出現的網絡攻擊來預測衝突發展情況。例如，在2013年末和2014年1月，研究人員觀察到Turla APT組織在烏克蘭的活動高於正常水平，並且BlackEnergy APT攻擊事件數量激增。同樣，在2022年2月初，研究人員注意到與Gamaredon CC服務器相關的活動量大幅飆升。這一活動達到了迄今為止從未見過的水平，這意味著為大規模的SIGINT(信號情報，通過攔截信號收集)收集工作正在進行。

如這些案例所示，在現代軍事衝突之前的幾天和幾週內，網絡戰中會出現與情報收集和破壞性攻擊有關的顯著跡象和峰值。當然，我們應該注意到，相反的情況也是可能的：例如，從2016年6月開始，但最值得注意的是，自2016年9月一直到2016年12月，Turla組織將其基於衛星的CC註冊量提高了2015年平均值的十倍。這表明Turla組織異常活躍，這表明該組織前所未有地調動了資源。與此同時，據我們所知，沒有發生隨後的軍事衝突。

如今的軍事行動是在實地收集支持情報之後進行的；這包括SIGINT和ELINT等。重大軍事行動(如2003年入侵伊拉克)還輔以旨在使敵人通信網絡癱瘓的強大網絡攻擊，在2022年2月，研究人員注意到與Gamaredon CC服務器相關的活動大幅增加，2013年底和2014年初，Turla和BlackEnergy的APT活動也出現了類似的激增。在軍事衝突發生前的幾天或幾週內，網絡戰會出現明顯的跡象和高峰。

在俄烏衝突衝突的第一天（2022年2月24日），烏克蘭實體遭受了大規模的無差別雨刷攻擊。這些攻擊的主要目標可能是造成混亂和混亂，而不是實現精確的戰術目標。相反，這一階段所使用的工具在本質上也是多種多樣的：

Ransomware (IsaacRansom)；

冒牌勒索軟件(WhisperGate)；

雨刷(hermetwiper, CaddyWiper, DoubleZero, IsaacWiper)；

ICS/OT雨刷(AcidRain, industrroyer2)。

其中一些特別複雜。據我們所知，HermeticWiper仍然是野外發現的最先進的雨刷軟件。 industrroyer2是在一家烏克蘭能源供應商的網絡中發現的，如果攻擊者無法訪問與受害者使用的相同ICS設備，則不太可能開發它。也就是說，從軟件工程的角度來看，這些工具中的許多都非常粗糙，似乎是匆忙開發出來的。

除了AcidRain（見下文）之外，我們認為這些不同的破壞性攻擊都是隨機的和不協調的——而且我們認為，在戰爭的宏偉計劃中影響有限。

Viasat事件2月24日俄烏衝突爆發時，覆蓋烏克蘭地區的美國衛星運營商Viasat遭遇網絡攻擊，導致數千烏克蘭用戶、數万名歐洲其他地區用戶斷網。經調查，攻擊者利用錯誤配置的VPN設備入侵衛星網管理後台，向數万用戶側Modem下發破壞性指令，從而造成斷網。 KA-SAT衛星網絡曾經被“烏克蘭軍方所頻繁使用”。在被攻擊期間，中歐及東歐地區的KA-SAT衛星服務均發生中斷。這次通信服務中斷也影響到了德國，導致負責控制約5800颱風力渦輪機的調製解調器無法正常聯網。此外，來自法國、意大利、匈牙利、希臘和波蘭的客戶也受到不同程序影響。 5月10日，歐盟將這些惡意活動歸咎於俄羅斯聯邦。這是迄今為止與烏克蘭衝突有關的最複雜的攻擊之一。雖然破壞活動可能沒有嚴重破壞烏克蘭的防禦，但它在戰場之外產生了多重影響。刺激美國參議院要求在衛星網絡安全問題上採取行動，加速SpaceX Starlink的部署。

ViaSat的攻擊活動再次表明，網絡攻擊是現代武裝衝突的基本組成部分，可能直接支持軍事行動。在武裝衝突期間，針對共同通信基礎設施的網絡攻擊極有可能發生，因為交戰方可能認為這些攻擊具有雙重用途。由於互聯網的相互關聯性，針對此類基礎設施的網絡攻擊可能會對未捲入武裝衝突的各方產生副作用。網絡攻擊引發了人們對商業衛星系統網絡安全的擔憂，這些系統可能支持從自拍地理定位到軍事通信等各種應用。雖然軍事力量經常討論針對太空動能戰鬥的保護措施，而且更多的數據中心有望很快升空，但地面站管理系統和運營商似乎仍然高度暴露在常見的網絡威脅之下。

專業勒索軟件組織、黑客活動和DDoS攻擊一如既往，戰爭對信息格局有著非常具體的影響。在2022年尤其如此，因為人類已經掌握了有史以來最強大的信息傳播工具：社交網絡及其充分證明的放大效應。大多數真實世界中與戰爭有關的事件(小規模衝突、死亡人數、戰俘證詞)都在網上被放大。傳統新聞媒體也受到更廣泛的信息戰背景的影響。

DDoS攻擊和在較小程度上破壞隨機網站一直被安全社區視為低複雜性和低影響的攻擊。特別是DDoS攻擊，需要產生大量的網絡流量，攻擊者通常無法維持很長一段時間。一旦攻擊停止，目標網站就會恢復可用。除了電子商務網站暫時的收入損失，DDoS攻擊或破壞提供的唯一價值是受害者的羞辱。由於非專業記者可能不知道各種類型的安全事件之間的區別，他們隨後的報導造成了一種無能和安全不足的印象，可能會削弱用戶的信心。網絡攻擊的不對稱性質在支持大衛與歌利亞的形象方面發揮了關鍵作用，在網絡領域的象徵性勝利有助於說服地面部隊，在現實戰場上也可以取得類似的成就。

根據卡巴斯基DDoS防護公司的數據，自2022年初以來的11個月裡，該服務註冊的攻擊次數比2021年全年多了1.65次。雖然這種增長可能不是很顯著，但與2021年相比，這些資源受到攻擊的時間更長。在2021年，平均攻擊持續約28分鐘，在2022年- 18.5小時，幾乎是原來的40倍。最長的一次攻擊在2021年持續了2天，2022年持續了28天(或2486505秒)。

2021與2022年卡巴斯基DDoS防護檢測到的DDoS攻擊總持續時間（秒），按週計算

自戰爭開始以來，一些有明顯政治傾向的黑客組織已經出現，並開始開展一些活動。例如，臭名昭著的匿名組織組織了一場活動，將數十輛出租車同時叫到同一個地點，造成了莫斯科的交通堵塞。

卡巴斯基DDoS防護也反映了這一趨勢。大規模DDoS攻擊在一年中分佈不均，春季和初夏是最激烈的時期。

2021與2022年卡巴斯基DDoS防護檢測到的DDoS攻擊數，按週計算

攻擊者在2月至3月初達到高峰，這反映了黑客活動的增長，到了秋天，黑客活動已經停止。目前，我們看到了一個經常性的預期攻擊動態，儘管它們的質量發生了變化。 5月至6月，我們發現了極長時間的攻擊。然而，現在它們的長度已經穩定下來，而典型的攻擊過去只持續幾分鐘，現在則持續數小時。

2022年2月25日，臭名昭著的Conti勒索軟件組織宣布他們“全力支持俄羅斯政府”。聲明中有一句話:“如果有人決定對俄羅斯發動網絡攻擊或任何戰爭活動，我們將動用一切可能的資源，對敵人的關鍵基礎設施進行反擊。”該組織隨後很快發布了另一條帖子，澄清了他們在衝突中的立場:“作為對西方戰爭販子和美國對俄羅斯聯邦公民使用網絡戰的威脅的回應，Conti團隊正式宣布，如果西方戰爭販子試圖以俄羅斯或世界上任何俄語地區的關鍵基礎設施為目標，我們將動用我們的全部能力採取報復措施。我們不與任何政府結盟，我們譴責正在進行的戰爭。然而，由於西方主要以平民為目標發動戰爭，如果美國的網絡攻擊將危及和平公民的福祉和安全，我們將利用我們的資源進行反擊。”

兩天后，一名烏克蘭安全研究人員洩露了Conti組織成員之間的大量內部私人信息，涵蓋了從2021年1月開始的一年多的活動。這對該組織造成了重大打擊，他們看到自己的內部活動暴露在公眾面前，包括與數百萬美元贖金有關的比特幣錢包地址。與此同時，另一個名為“comomingproject”的網絡犯罪組織專門從事數據洩露，宣佈如果他們看到針對俄羅斯的攻擊，他們將支持俄羅斯政府：

其他組織，如Lockbit，更傾向於保持中立，聲稱他們是一個國際社會，包括俄羅斯人和烏克蘭人，而且“一切都是生意”：

2月26日，烏克蘭副總理兼數字轉型部長米哈伊洛马云惹不起马云費多羅夫(Mykhailo Fedorov)宣布創建一個Telegram頻道，以“繼續在網絡戰線上戰鬥”。最初的Telegram頻道名稱（itarmyourraine）有一個拼寫錯誤，因此創建了第二個。

烏克蘭的Telegram頻道

信道運營商不斷地給用戶分配任務，例如DDoS攻擊各種商業公司、銀行或政府網站：

烏克蘭IT部門發布的DDoS目標列表

據報導，在很短的時間內，由志願者組成的“烏克蘭IT軍”(通過Twitter和Telegram進行協調)對800多個網站進行了破壞或DDOS攻擊，包括莫斯科證券交易所等知名機構。

其他組織也觀察到了類似的活動，隨著衝突蔓延到鄰國，它們已經站隊。例如，白俄羅斯網絡游擊隊聲稱，他們將白俄羅斯鐵路改為手動控制，從而擾亂了鐵路的運營。目標是減緩俄羅斯軍隊在該國的行動。

白俄羅斯網絡游擊隊的帖子

一些表達了他們對烏克蘭衝突看法的勒索軟件或黑客組織的有限且迄今為止並不詳盡的列表包括：

在公開支持俄羅斯的組織中，最初作為對“烏克蘭IT軍”的回應而成立的Killnet可能是最活躍的。 4月下旬，他們攻擊了羅馬尼亞政府網站，以回應羅馬尼亞眾議院議長馬塞爾马云惹不起马云西奧拉庫（Marcel Ciolacu）在向烏克蘭當局承諾“最大限度的援助”後發表的聲明。 5月15日，Killnet在其telegram頻道上發布了一段視頻，向十個國家宣戰：美國、英國、德國、意大利、拉脫維亞、羅馬尼亞、立陶宛、愛沙尼亞、波蘭和烏克蘭。在這些活動之後，被稱為“匿名者”的國際黑客團體於5月23日宣布對Killnet發動網絡戰。

Killnet在2022年繼續其活動，此前他們在Telegram頻道上發布了一則聲明。 10月，該組織開始攻擊日本的某些組織，後來由於缺乏資金，他們停止了攻擊。後來，它攻擊了一個美國機場、政府網站和企業，但往往沒有取得重大成功。 11月23日，Killnet短暫關閉了歐盟的網站。 Killnet還多次針對拉脫維亞、立陶宛、挪威、意大利和愛沙尼亞的網站。雖然Killnet的方法並不復雜，但它們不斷成為頭條新聞，並引起人們對該組織活動和立場的關注。

俄烏衝突為各方新的網絡軟件活動創造了溫床，其中包括網絡犯罪分子和黑客，他們爭相支持自己最喜歡的一方；

我們可以預見，從現在起，黑客組織將捲入所有重大的地緣政治衝突；

網絡軟件活動正在蔓延到鄰國，並影響到大量機構，包括政府機構和私營公司；

烏克蘭IT軍(IT Army of Ukraine)等組織得到了政府的正式支持，他們的Telegram頻道擁有數十萬訂閱者；

大多數時候，這些組織實施的攻擊對沖突的影響非常有限。

黑客攻擊和隱私洩漏在試圖劫持媒體注意力的更為複雜的攻擊方面，自衝突開始以來，黑客和洩密活動一直在增加。這個過程很簡單，攻擊一個組織，並在網上發布其內部數據。從理論上講，這些數據洩露是可以操縱的。攻擊者有足夠的時間編輯任何已發布的文件，或者乾脆注入完全偽造的文件。需要注意的是，攻擊者完全沒有必要為了數據洩漏造成破壞而花費如此長的時間。這些數據的公開本身就證明發生了嚴重的安全事件，而合法的原始內容可能已經包含了犯罪信息。

在我們對2023年APT的預測中，我們預測黑客和洩密行動明年將會增加；

信息戰不僅針對各參與方，而是針對所有組織的。我們預計，絕大多數此類攻擊不會針對交戰雙方，而是針對那些被認為過於支持(或不夠支持)任何一方的組織；

無論是黑客攻擊還是DDoS攻擊，網絡攻擊都是國家之間發出攻擊信號的一種手段；

開源軟件武器化開源軟件有很多好處。首先，它通常是免費使用的，這意味著企業和個人可以節省軟件成本。然而，由於任何人都可以對代碼做出貢獻並進行改進，這也可能被濫用，進而打開安全陷阱門。另一方面，由於代碼可以公開檢查任何潛在的安全漏洞，這也意味著只要有足夠的審查，使用開源軟件的風險可以降低到合適的水平。

早在3月，流行的npm包“node ipc”的開發者RIAEvangelist發布了該軟件的修改版本，如果運行的系統具有俄羅斯或白俄羅斯的IP地址，則該軟件包含特殊功能。在這樣的系統上，代碼將用一個心形表情符號覆蓋所有文件，另外部署來自同一開發人員創建的另一個模塊的消息with - love - from - america .txt。 node-ipc包在全球擁有超過80萬用戶。與開源軟件通常的情況一樣，部署這些修改過的“node-ipc”版本的效果並不僅限於直接用戶，其他開源軟件包，例如“Vue.js”，自動包含最新的node-ipc版本，放大了效果。

旨在俄羅斯市場傳播的軟件包並不總是會導致文件被破壞，其中一些包含隱藏功能，例如在軟件網站的某個部分添加烏克蘭國旗或支持該國的政治聲明。在某些情況下，該軟件包的功能被刪除，並被政治通知所取代。值得注意的是，並不是所有的包都隱藏了這個功能，一些開發者在軟件包描述中宣布了這個功能。

其中一個項目鼓勵傳播一個文件，該文件一旦打開，就會開始通過JavaScript訪問註冊服務器的各個頁面，從而使網站過載。

GitHub上發現的其他存儲庫和軟件模塊包括專門為DDoS俄羅斯政府、銀行和媒體網站創建的存儲庫，專門用於收集俄羅斯基礎設施和活動數據的網絡掃描儀。

隨著衝突的持續，流行的開源軟件包可以被開發人員或黑客用作抗議或攻擊平台；

這種攻擊的影響可以進一步擴展到開源軟件本身，傳播到其他自動依賴木馬代碼的軟件包；

市場撕裂在過去的幾年中，尤其是2014年之後，這一過程開始擴展到IT安全領域，國家通過法律禁止彼此的產品、服務和公司。自2022年2月俄烏衝突爆發以來，我們看到許多西方公司退出俄羅斯市場，讓他們的用戶在獲得安全更新或支持方面陷入困境。與此同時，一些西方國家推動法律禁止使用俄羅斯軟件和服務，因為這些軟件和服務有被用於發動攻擊的潛在風險。顯然，不能完全排除政治壓力將一些小市場主體的產品、技術和服務武器化的可能性。然而，當涉及到全球市場領導者和受人尊敬的供應商時，我們認為這是極不可能的。

另一方面，尋找替代解決方案可能是極其複雜的。我們經常發現，來自本地供應商的產品的安全開發文化通常明顯不如全球領先企業，它們很可能存在顯而易見安全錯誤和零日漏洞，使它們很容易成為網絡犯罪分子和黑客活動分子的獵物。

網絡攻擊對戰爭結果的影響地緣政治正在發揮重要作用，分裂的進程可能會擴大；

當供應商終止對產品的支持或退出市場時，安全更新可能是首要問題；

用本地產品取代成熟的全球領導者，可能會為利用零日漏洞的網絡犯罪分子打開大門；

網絡戰爭會爆發嗎？自俄烏衝突開始以來，網絡安全界一直在爭論烏克蘭發生的事情是否屬於“網絡戰爭”。一個不爭的事實是，衝突爆發時確實發生了重大網絡活動。

另一方面，許多觀察家認為，在發生衝突的情況下，先發製人的網絡攻擊會讓自己佔據主動。但事實上，除了Viasat事件（其實際影響仍難以評估）之外，這一事件根本沒有發生。這場衝突反而揭示了網絡力量和實際戰場之間缺乏協調，並在許多方面將網絡攻擊降格為從屬角色。在衝突的最初幾週觀察到勒索軟件攻擊，充其量只能算是乾擾。後來，當今年11月衝突升級，烏克蘭基礎設施（尤其是能源網絡）明確成為目標後，很明顯，俄羅斯軍方選擇的工具是導彈，而不是網絡攻擊。

如果你認同網絡戰爭的定義，即通過網絡手段支持的任何動態衝突，無論其戰術或戰略價值如何，那麼2022年2月確實發生了一場網絡戰爭。

網絡攻擊對戰爭結果的影響遠沒有想像的那麼大，事實證明，對計算機的物理破壞似乎更容易、更便宜、更可靠。我們認為，網絡攻擊在戰爭背景下的效果以前被我們大大高估了。

總結俄烏衝突將對整個網絡安全行業和環境產生持久影響。無論“網絡戰爭”一詞是否適用，不可否認的是，當一個大國捲入戰爭時，衝突將永遠改變每個人對戰時網絡活動的期望。

在戰爭爆發之前，幾個正在進行的多方進程(聯合國OEWG和GGE)試圖就網絡空間中可接受和負責任的行為達成共識。鑑於全球目前所經歷的極端地緣政治緊張局勢，這些本已艱難的討論能否在不久的將來取得成果令人懷疑。