美国国务院通过“正义赏金”计划，悬赏最高1000万美元，征集有关三名俄罗斯联邦安全局（FSB）官员的情报，他们被指控入侵美国及全球超过500家能源企业，试图破坏关键基础设施。这些攻击行动，代号“Dragonfly”，自2012年起分两阶段进行，利用供应链攻击和定向钓鱼，针对工业控制系统（ICS）和SCADA系统。近期，与FSB相关的黑客组织“Static Tundra”被披露利用Cisco SMI等漏洞，攻击老旧网络设备，长期进行网络间谍活动，窃取关键基础设施数据。这些活动旨在使俄罗斯政府能够破坏能源供应。

🇺🇸 美国政府设立“正义赏金”计划，悬赏最高1000万美元，旨在获取关于三名涉嫌入侵美国及全球能源基础设施的俄罗斯联邦安全局（FSB）官员的情报。这些官员被指控试图获取并维持对能源企业的未授权访问，以达到破坏关键设施的目的，其攻击范围广泛，涉及135个国家。

🐉 “Dragonfly”攻击行动分为两个阶段，分别发生在2012-2014年（第一阶段，代号“Havex”）和2014-2017年（第二阶段，代号“Dragonfly 2.0”）。第一阶段主要通过供应链攻击和恶意软件部署，感染了超过17,000台设备；第二阶段则转向定向攻击，目标是500多家欧美能源企业及3,300多名关键系统工程师。

💻 近期披露的新型攻击手段显示，与FSB第16中心相关的黑客组织“Static Tundra”正利用Cisco Smart Install（SMI）等漏洞，以及SNMP协议，攻击全球老旧网络设备，并使用定制化工具如“SYNful Knock”恶意固件，建立隐蔽通信，窃取关键基础设施配置数据。这些活动持续十年，目标是具有战略价值的机构。

🎯 攻击者选择受害者基于其对俄罗斯政府的战略价值，主要针对北美、亚洲、非洲和欧洲的电信、高等教育和制造领域。其攻击手段包括利用过时协议、部署模块化后门以实现持久化访问和情报收集，显示出其网络间谍活动的长期性和系统性。

HackerNews 编译，转载请注明出处：

美国国务院通过“正义赏金”计划悬赏最高1000万美元，征集有关俄罗斯联邦安全局（FSB）官员帕维尔·亚历山德罗维奇·阿库洛夫（Pavel Aleksandrovich Akulov）、米哈伊尔·米哈伊洛维奇·加夫里洛夫（Mikhail Mikhailovich Gavrilov）和马拉特·瓦列里耶维奇·秋科夫（Marat Valeryevich Tyukov）的情报。这三人被指控入侵美国关键基础设施及全球超过500家能源企业。

指控称，这些FSB官员试图获取并维持“对美国及国际数百家能源企业的未授权持久访问权限，使俄罗斯政府能够破坏这些关键设施”。其攻击范围涵盖135个国家超过380家能源企业，包括石油天然气公司、电力电网运营商、核电站、可再生能源企业以及工程技术服务商。

这三名官员均隶属于FSB第16中心（又名“Dragonfly”、“Berzerk Bear”、“Energetic Bear”和“Crouching Yeti”）。美国司法部早在2021年8月就已对他们提起指控。

两阶段攻击行动

2012至2017年间，Dragonfly APT（高级持续性威胁）组织针对能源行业的工业控制系统（ICS）和监控与数据采集系统（SCADA）发起多轮攻击：

1. 第一阶段（2012-2014）：行动代号“Dragonfly”或“Havex”，采用供应链攻击手段入侵OT网络系统制造商和软件供应商，部署“Havex”恶意植入程序。通过鱼叉式钓鱼和水坑攻击，在美国及海外超过17,000台设备上安装恶意软件，其中包括电力能源企业使用的ICS/SCADA控制器。
2. 第二阶段（2014-2017）：升级为“Dragonfly 2.0”，集中针对500余家欧美能源企业和政府机构（包括美国核管理委员会）的3,300多名ICS/SCADA系统工程师发起定向攻击。

新型攻击手段曝光

2025年8月，FBI警告称俄罗斯关联黑客组织“Static Tundra”正在利用Cisco Smart Install（SMI）中未修复的漏洞（CVE-2018-0171，CVSS评分9.8）和简单网络管理协议（SNMP），攻击全球范围内的老旧网络设备。该漏洞允许攻击者远程执行任意代码或导致设备重启。

Static Tundra与FSB第16中心存在关联，十年来持续通过以下手段实施网络间谍活动：

1. 利用过时协议（SMI、SNMP v1/v2）
2. 部署定制化工具如Cisco “SYNful Knock”恶意固件
3. 建立GRE隧道实现隐蔽通信
4. 窃取数千台美国关键基础设施设备的配置数据

思科Talos团队报告显示，该组织主要针对北美、亚洲、非洲和欧洲的电信、高等教育和制造领域机构，受害者选择标准取决于其对俄罗斯政府的战略价值。

SYNful Knock作为模块化路由器后门，自2015年被Mandiant首次披露以来，持续为攻击者提供持久化访问和情报收集能力。

 

 

 

---

消息来源：securityaffairs；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文