對于勒索軟件組織及其附屬機構來說，去年是關鍵的一年，勒索軟件成為工業領域遭受入侵的首要原因。在2021年，遭受勒索軟件攻擊最多的工業部門是制造業，幾乎是其他工業部門的兩倍。對此，Dragos在《2021年ICS/OT網絡安全年度回顧》中分析了工業基礎設施中勒索軟件攻擊的趨勢。

一、針對OT的勒索軟件威脅

在許多針對工業部門的攻擊中，OT和IT之間的界限模糊，以及對這些系統之間的交互知之甚少，再加上遠程訪問的增加，因為越來越多的組織依賴遠程辦公的員工，增加了整體風險。雖然勒索軟件主要針對企業IT系統，但在許多情況下，勒索軟件確實會直接影響OT，并在集成的IT和OT環境中產生影響。

一些勒索軟件運營者在攻擊企業IT時會間接影響OT。一旦攻擊者獲得初始訪問權限，就可以執行勒索軟件，以在關鍵的企業IT系統中站穩腳跟，并可能橫向進入OT系統。在破壞組織后，他們要求受害者支付用于解密文件的密鑰的贖金。通常受害者幾乎沒有辦法恢復其系統功能。

然而一些勒索軟件組織專門針對OT系統。EKANS是一款專門攻擊ICS的勒索軟件，在2020年針對電力、石油和天然氣、醫療和制藥制造以及汽車行業的公司。Dragos分析了EKANS惡意軟件的多個變種，發現EKANS變種能夠在啟動加密之前停止與ICS相關的Windows進程。

二、工業安全勒索軟件趨勢

Dragos分析匯總了2021年針對ICS行業的勒索軟件趨勢，其中制造業占65%，其次是餐飲業11%和交通運輸業8%。在制造業中，金屬部件占17%，其次是汽車8%和技術6%。制造業在OT安全防御方面是最不安全的。

三、勒索軟件組織

勒索軟件組織Conti和Lockbit 2.0的攻擊次數占總勒索軟件攻擊的51%，其中70%的惡意活動針對制造業。Conti可以追溯到2020年，最近確認的攻擊針對的是CS Energy和Shutterfly。2021年6月，Lockbit 2.0進行了重組，現在專注于竊取數據并通過威脅勒索受害者來獲取經濟利益，如果受害者不支付贖金就發布泄露的數據。

根據Lockbit 2.0在暗網論壇上的一篇帖子，2021年，Lockbit 2.0聲稱擁有能源設備供應商施耐德電氣的數據。該事件從未得到證實，施耐德電氣發布的數據似乎來自之前對丹麥風力渦輪機制造商維斯塔斯的攻擊。

勒索軟件攻擊的激增可歸因于勒索軟件即服務(RaaS)現象。然而另一個關鍵因素是，工業部門的數字化轉型，以及IT和OT之間的連接性增強。Conti和Lockbit 2.0等勒索軟件組織已經動員了一個地下市場，他們的開發人員將業務外包給執行攻擊的附屬機構。附屬機構不需要高水平的專業技術知識，因為勒索軟件已經開發出來，他們可以購買系統訪問權限并雇傭黑客，這大大降低了進入門檻。

四、勒索軟件業務日益成熟

隨著勒索軟件行為者的進入壁壘減少，對工業部門的財務影響越來越大。通常，勒索軟件組織會威脅要在加密目標文件系統之前發布泄露的公司和個人信息，然后將信息轉儲到暗網泄漏站點。2021年上半年，針對ICS行業的勒索軟件攻擊的平均修復成本持續上升，原因包括停機時間、人員配備、設備和網絡運營中斷、失去商機以及支付贖金。

勒索軟件組織DarkSide現已更名為REvil，為客戶服務提供實時聊天支持，并在宣布關閉業務之前至少獲得了6000萬美元的收入。勒索軟件組織正在投資他們的業務，資助研發，隨著勒索方法變得越來越極端，研發正在推動其行業。

勒索軟件趨勢可能會繼續發生變化，隨著組織進行改革，重新確定優先級順序，以及執法部門會追蹤勒索軟件并將其離線。隨著勒索軟件組織的解散和改革，勒索軟件變種混合在一起，并且更有可能在2022年開發出更多具有ICS/OT功能的變種。

五、趨勢預測

Dragos評估，勒索軟件將繼續破壞工業運營和OT環境，無論是通過將OT結束進程集成到勒索軟件中、還是通過存在扁平化網絡以防止勒索軟件傳播到OT環境中，或者通過運營商關閉OT環境作為預防措施，同時試圖阻止IT勒索軟件傳播到OT系統。

Dragos評估，國家支持的攻擊者可能利用勒索軟件來掩蓋其替代行動、盜竊知識產權(包括關鍵的OT示意圖細節)、偵察目標網絡、以及ICS網絡殺傷鏈的其他第一階段組件。

最后Dragos表示，勒索軟件攻擊者的勒索技術將繼續提升，因為攻擊者會使用任何手段來追索贖金。