每起OT安全事件的攻击链中都包含一份文件：《2024–2026年ICS/OT威胁态势报告》

在过去的两年里，针对工业控制系统和运营技术的攻击已从理论风险转变为现实威胁。国家行为体不再仅仅是在关键基础设施内部预先部署，而是已开始付诸行动。对于以运营技术环境为目标的国家赞助行为体而言，数据擦除型攻击已取代勒索软件，成为其首选武器。几乎所有重大事件都存在一个共同点：一个恶意文件越过了无人检查的信任边界。

本文将带您全面了解2024年至2026年初的ICS/OT威胁态势，并非罗列APT组织名称和CVE编号，而是以叙事形式展开。我们将首先从全局出发：事件发生的时间及具体情况。随后，我们将探讨幕后黑手是谁、他们是如何实施攻击的，最后，我们将深入剖析一起具体事件，从内部视角展现现代ICS擦除攻击的真实面貌。

关键数据

• 2025年，共有119个勒索软件团伙积极针对运营技术（OT）环境发起攻击，较2024年的80个增长了49%

• 在所有OT勒索软件受害者中，超过三分之二是制造商，这是遭受攻击最严重的行业

• “Volt Typhoon”在一家美国电力公司的运营技术（OT）网络中隐蔽活动了300多天

• 仅在2024至2025年间，就有六起Wiper网络攻击针对ICS/OT系统，这一数量超过了任何可比时期

在分析这些攻击的幕后黑手或运作机制之前，先通过时间线来梳理这些事件会有所帮助。下表汇总了该期间发生的每一起重大的工业控制系统（ICS）/运营技术（OT）安全事件——按行业、威胁行为者和地理位置进行分类——以便您在深入探讨前先掌握整体情况。

这一趋势正在加速。仅2025年一年，针对工业控制系统（ICS）和运营技术（OT）的针对性攻击活动就比以往任何一年都要多。地理范围也进一步扩大，已从乌克兰-俄罗斯战区延伸至北约成员国（如波兰）、西欧（包括挪威）以及中东地区（包括以色列）。受影响的行业范围也已从能源和水务领域扩展至医疗保健、电信和制造业。

这些攻击针对不同的国家、行业和受害者——但它们的起始方式都如出一辙：始于一个被所有人忽略的文件。只要触发其中一个，你立刻就能看出它是专为破坏而设计的。

上文的时间线虽然紧凑，但绝非随机。这些事件主要集中在少数几个行动团体周围，每个团体都有其独特的动机、能力和首选目标。

俄罗斯——仍是工业控制系统（ICS）面临的最大威胁

在此期间，与俄罗斯有关联的攻击者占针对工业控制系统的攻击活动的最大份额，他们通过多个扮演不同角色的组织开展活动。

“沙虫”（ELECTRUM）仍是全球针对工业控制系统（ICS）能力最强的攻击者。该组织于2025年12月针对波兰电力网发起的攻击行动，锁定了约30个分布式能源站点，其中包括热电联产设施以及风能和太阳能等可再生能源调度系统。这是首次针对分布式能源资源的大规模协同网络攻击。

此次攻击中部署的DynoWiper恶意软件是一种针对能源基础设施的Windows PE擦除型恶意软件。它清除了分布式能源（DER）站点上的Windows系统设备，并使部分运营技术（OT）和工业控制系统（ICS）设备彻底损坏无法修复。虽然未造成停电，但攻击者成功入侵了对电网运行至关重要的运营技术系统。

此前，他们在“PathWiper”行动中利用一个VBScript释放器配合PE擦除器，针对乌克兰关键基础设施发动攻击，该擦除器会破坏主引导记录（MBR）和MFT 覆盖所有驱动器上的文件。2024年，他们针对乌克兰电信基础设施部署了名为“AcidPour”的Linux ELF擦除器，并策划了一起针对能源和供水系统的供应链攻击。

KAMACITE作为基础架构层发挥着支撑作用。2025年，观察到这个与俄罗斯总参谋部情报总局（GRU）有关联的组织对美国工业目标进行了侦察扫描，这属于“ELECTRUM”破坏行动前通常会进行的预部署活动。

中国——沉稳、深邃且不断拓展

中国的做法与俄罗斯截然不同。俄罗斯方面采取破坏行动，而中国方面则坚持不懈。

已确认，VOLTZITE（Volt Typhoon）在美国某电力公司的运营技术（OT）网络中潜伏了300多天，窃取了气体绝缘开关（GIS）数据和运营技术系统配置信息。这并非单纯为了间谍活动而进行的行动。其预先部署的模式表明，此举旨在为未来破坏美国电力基础设施做准备。

2025年，SYLVANITE的初始入侵中介迅速利用Ivanti VPN设备、F5设备及其他边缘基础设施中的漏洞发起攻击。随后，这些立足点被引入VOLTZITE管道，用于对运营技术（OT）系统进行更深层次的入侵。攻击目标范围扩大，涵盖了电力和供水公用事业公司。

AZURITE 是一个于 2025 年被发现的新追踪到的组织，标志着与中国相关的运营技术（OT）攻击活动进一步升级。该组织正积极针对美国、澳大利亚和欧洲的制造业、国防业及汽车业领域的运营技术工程工作站发起攻击。该组织主要致力于窃取网络拓扑图、报警数据和工艺配置信息。

伊朗——越界引发肢体冲突

在此期间，伊朗国家支持的行动者发生了决定性的转变，从机会主义式的入侵转向了有针对性地攻击物理系统。

2023年至2024年间，CyberAv3ngers（BAUXITE / IRGC）入侵了美国多家供水设施的75多台设备，其中包括直接接管宾夕法尼亚州某增压站的一台PLC。其开发的IOCONTROL恶意软件是一种Linux二进制文件，将基于MQTT的命令与控制功能嵌入设备固件更新包中，专为入侵OT设备而设计。 2025年，BAUXITE组织针对以色列能源和储能基础设施部署了BlueWipe-SewerGoo擦除器变种。

2025年，PYROXENE（IRGC-CEC，与APT35存在重叠）针对以色列和阿尔巴尼亚的关键基础设施及政府网络发动了攻击。该组织结合了社会工程学和供应链入侵手段，投放了PE擦除型有效载荷。

Handala体现了“黑客行动主义”与“国家主导的破坏活动”之间界限日渐模糊的现象。多家威胁情报公司评估认为，该组织是名为“Void Manticore”的威胁行为体的掩护组织，由伊朗情报与安全部资助。该组织于2023年底浮出水面，此后一直针对以色列目标持续开展数据擦除行动。

他们的攻击工具包技术含量极高。这些钓鱼邮件通常用流利的希伯来语撰写，其中包含一个 NSIS 安装程序，该程序会启动一个 AutoIT 脚本，将数据擦除程序注入到合法的 Windows 进程中。最终的有效载荷会用随机数据覆盖文件，利用存在漏洞的驱动程序提升权限，并在销毁API 通过 Telegram 的API 窃取系统信息。

这个安装程序包含许多动态组件——文件被拆分、赋予虚假名称，并在运行过程中拼凑出各种命令。但实际上，每一步不过是再放置并启动一个文件而已。触发该样本后，在擦除工具清除任何数据之前，整个操作序列便会完全显现出来。

纵观所有这些涉及不同行为体、不同领域和不同地区的事件，其中显现出一套一致的模式。

雨刮器已成为主要的破坏性工具

这是工业控制系统（ICS）和运营技术（OT）威胁活动中的最显著趋势。 仅在2024至2025年间，就有至少六起针对工业和关键基础设施环境的独立擦除攻击活动：DynoWiper针对波兰能源部门，PathWiper针对乌克兰关键基础设施，AcidPour针对乌克兰电信行业，BAUXITE或BlueWipe-SewerGoo针对以色列能源部门，PYROXENE针对以色列和阿尔巴尼亚的政府及关键基础设施，Handala则针对全球医疗保健领域。

这些擦除工具正变得越来越具有针对性。DynoWiper 专门针对波兰的能源基础设施展开攻击，擦除了分布式能源站点中基于 Windows 的计算机，并使部分运营技术（OT）设备彻底失效，无法恢复。PathWiperMFT 破坏主引导记录（MBR）MFT ，从而使数据恢复变得极其困难。AcidPour 则针对嵌入式 Linux 设备，擦除运营技术设备中使用的 UBI 卷和 Device Mapper 分区。

Handala 针对 Stryker 的攻击展现了另一种演变模式。攻击者并未大规模部署定制恶意软件，而是滥用一款名为 Microsoft Intune 的合法企业管理工具，对已注册设备同时发出批量擦除指令。这实际上将该组织自身的基础设施变成了攻击武器。这些并非被转用于 OT 领域的通用工具，而是专门为受影响的环境而设计或被其利用的。

针对工业控制系统（ICS）的恶意软件正变得日益复杂

FrostyGoop 作为一项里程碑式的事件值得特别关注。该恶意软件于 2024 年 1 月针对利沃夫区域供热系统发起攻击，是首个在生产环境中直接利用 Modbus TCP 协议的恶意软件。它采用 Go 语言编写并编译为 Windows PE 二进制文件，通过工程网络传播，借助文件传输从 IT 系统渗透至 OT 系统。此次攻击导致在零下气温下，600 多栋公寓楼连续两天处于无供暖状态。

FrostyGoop之所以重要，是因为Modbus TCP在全球工业环境中被广泛使用。该恶意软件表明，攻击者已不再仅针对与运营技术（OT）相邻的Windows工作站，而是开始编写能够直接与工业协议通信的代码。

FrostyGoop 的宗旨就体现在它加载的代码中——它所导入的库仅有一个目的：与工业控制器进行通信

工业控制系统（ICS）和运营技术（OT）攻击中的共同特征揭示了一个普遍的现实：未知且难以被察觉的威胁以文件形式侵入系统环境，跨越信任边界，并在传统防御措施作出反应之前便已执行。要阻止此类攻击，既需要深入的行为分析，也需要在恶意行为执行之前预测其意图的能力。

MetaDefender 是OPSWAT统一零日漏洞检测解决方案，旨在揭露隐藏在文件中的未知和隐蔽威胁。该方案将自适应沙箱、威胁情报、威胁评分以及基于机器学习的相似性搜索整合到单一检测管道中，为每个文件提供可靠的判定结果。

通过在模拟环境中触发文件，Aether 能够揭示静态分析工具无法检测到的隐藏行为，例如勒索软件逻辑、代码注入、反分析技术以及多阶段有效载荷。它将这些发现与数十亿条威胁指标进行关联，从而识别风险、发现变种，并将相关活动与已知的攻击者技术进行匹配。

该方法使组织能够检测可执行文件、脚本、归档文件和补丁文件中的零日威胁，而这些文件无法进行净化或修改。此外，它还支持受监管行业中的合规要求，这些行业通常要求进行动态分析，且必须保持文件的完整性。