最少从2017年逐渐，对危害工业生产和关键基础设施建设机构的勒索软件事情的公布披露大幅度提升。著名的勒索软件大家族，有WannaCry、LockerGoga、MegaCortex、Ryuk、Maze，及其如今的SNAKEHOSE(也称之为Snake / Ekans)，早已让工业生产领域的受害人投入了数百万美元的保释金和各类成本费，这种攻击还对使各机构可以生产制造和给予货品和服務的物理化学全过程导致重要终断和耽误。
近期，伴随着金融业犯罪嫌疑人的对策已从机会主义演化为勒索软件攻击对策，科学研究工作人员发觉攻击者在攻击时的内部结构侦查的提升，使它们可以看准对生产流程尤为重要的系统软件。因而，勒索软件感柒不论是危害企业网络中的关键财产，或是危害OT互联网中的电子计算机，通常会造成一样的結果，这种攻击最后都是会导致商品或服务项目供货不够或供货延迟时间。
要真真正正了解产业部门勒索软件推送实际操作的与众不同细微差别，必须融合IT和OT系统软件的技术和识别性来解读。应用采集的事例，科学研究工作人员将表明勒索软件是怎样毁坏工业生产运营能力的?
传统式的勒索软件攻击方式主要是取决于一种 称为“shotgun” 的方式，这类方式包含不用选择散播恶意程序，以数据加密来源于各种各样受害人的资料和数据信息。攻击者应用这类攻击方式的攻击者将向受害人均值敲诈勒索500至1000美金，并期待能从尽量多的人那儿获得支付。尽管选用这个办法的初期勒索软件主题活动通常被觉得超过了OT安全性的范畴，但近期对于全部工业生产和关键基础设施建设机构的主题活动早已转为选用一种更繁杂的敲诈勒索操作步骤。
在勒索软件安全性进行后，攻击者很有可能依然常常借助遍布普遍的恶意程序来得到对被害自然环境的原始访问限制，可是一旦进到互联网，她们将致力于得到权利访问限制，便于它们可以在布署勒索软件以前探寻总体目标互联网并明确关键互联网。此外，这类方式还使攻击者可以禁止使用通常足够检验已经知道勒索软件指标值或手段的安全性全过程。攻击者抛向的监测网站很有可能会危害关键系统软件，进而给受害人导致较大的痛楚，从而扩张其中后期行为的规模化和法律效力。因而，她们在洽谈中处在更有益的影响力，通常可以规定更多的保释金，这通常与受害人的付款工作能力和保释金自身的使用价值相当。
不用差别的勒索软件方式与扫描仪后逐渐开展的勒索软件方式的较为
涉及到机遇性勒索软件布署的历史事件通常仅限危害单独电子计算机，在其中有时候包含OT正中间系统软件，这种系统软件可以利用网络浏览，按段不佳或泄露于受传染的携带式新闻媒体。在2017年，科学研究工作人员还留意到例如NotPetya和BadRabbit之类的主题活动，在这种运动中科学研究工作人员发觉了具备蜘蛛作用的雨刮器恶意程序(wiper malware)，根据掩藏，在取得成功安裝后，勒索软件会逐渐开展攻击实际操作。
当攻击者对于特殊领域或机构量身定做攻击时，具备基础设施建设特性的机构(例如，公共事业，医院门诊和工业生产生产制造)和被觉得有实力付款巨款的企业(例如，收益更高一些的企业)变成首要总体目标。这代表着金融犯罪攻击者将总体目标扩张到立即解决有价值的信息内容(如信用卡号码或客户资料)的领域，以便捷转现。
因为攻击者在开展内部结构侦查并在布署勒索软件以前，早已横着挪动到总体目标互联网中，如今她们可以更快的在所有互联网中进行攻击，进而对关键财产进行攻击。
最重要的是，金融业攻击者以往常常采用的很多战略、技术性和程序流程(TTP)与以往OT安全事故的攻击生命期的原始和正中间环节高技能人才攻击者所采取的对策、技术性和程序流程类似。因而，金融业犯罪嫌疑人很可能可以转为OT中介公司系统软件并之中间系统软件布署勒索软件，以进一步毁坏经营。
有结构的金融业犯罪嫌疑人早已展现出毁坏OT财产的工作能力
攻击者根据勒索软件得到经济发展利润的功能在于很多要素，在其中之一便是毁坏与被害机构的关键重任最有关的系統的工作能力。因而，科学研究工作人员可以期待完善的攻击者慢慢将其挑选范畴从IT和工作流程拓展到OT财产监控和操纵物理学步骤。这在勒索软件大家族中体现得很显著，例如SNAKEHOSE，其设计方案仅在终止一系列过程后才实行其有效载荷，例如包含来源于美国通用电气(General Electric)和霍尼韦尔(Honeywell)等厂商的一些工业软件。乍一看，SNAKEHOSE的攻击目录好像是特意为OT自然环境量身定做的，由于原始归类的自动化技术专用工具鉴别的过程相对性较少(但与OT有关的过程总数较多)。殊不知，在手动式从停止过程的函数公式中获取目录以后，大家明确SNAKEHOSE应用的停止目录事实上对于超出1000个过程。
事实上，科学研究工作人员观查到SNAKEHOSE与别的勒索软件大家族(包含LockerGoga，MegaCortex和Maze)实行的过程停止目录十分类似。实际上，这都不怪异，在过去的的2年中，全部这类编码大家族都和危害工业生产机构的大事件有关。科学研究工作人员明确的最开始包括OT解决的目录是2019年1月与LockerGoga一起布署的批处理命令脚本制作。该目录与之后在MegaCortex事情中采用的批处理命令脚本制作十分类似，虽然有显著的除外，例如与OT有关的步骤发生显著的错别字，在科学研究员工的SNAKEHOSE或MegaCortex样版中不会有“proficyclient.exe4”。 SNAKEHOSE和MegaCortex实例中并没有这类错字很有可能说明这种恶意程序开发人员在最开始拷贝LockerGoga目录中的OT过程时已鉴别并改正了该不正确，或是LockerGoga开发人员无法恰当地融合一些理论上的过程普遍的由来，如下所示所显示。
应用LockerGoga(左)和SNAKEHOSE(右)布署的停止目录中的“proficyclient.exe”的英语拼写
无论哪个勒索软件大家族最先在停止目录中采用了与OT有关的全过程，或是由恶意程序开发人员得到该目录的部位，该目录好像在每个恶意程序大家族中长期存在，这说明这一目录自身比一切完成它的恶意程序大家族更特别注意。虽然这种目录中标志的OT步骤很有可能仅仅意味着从总体目标自然环境全自动搜集步骤的偶然輸出，而不是危害OT的有目的性的勤奋，但此目录的出现为金融业犯罪嫌疑人给予了毁坏OT系统软件的机遇。除此之外，科学研究工作人员预估伴随着出自于会计动因的攻击者再次将工业生产机构做为攻击目标，对OT更为了解并明确IT和OT系统软件中间的依赖关系，她们将开发设计别的运作工业生产软件项目和技术性的系統和软件环境。
IT和OT系统软件中的勒索软件布署早已危害了工业生产
因为攻击者采用了提早扫描仪工业生产组织结构的对策，而且对产业部门总体目标的攻击观念提高，因而无论恶意程序是构建在IT或是OT中，勒索软件事情都是会危害工业生产。勒索软件事情对局域网络中网络服务器和电脑的信息开展数据加密，造成对由OT网络监督的物理学生产过程的直接的或间接性毁坏。这致使了最后商品或服務的供给不够或延迟时间，这意味着了长久的财产损失，如丧失商机、事情回应成本费、管控处罚、信誉危害，有时候乃至付款了保释金。在一些单位，如公共事业和公共文化服务，他们一旦终止运行，便会对社会造成关键危害。
勒索软件应用IT互联网感柒工业生产的最知名事例是Norsk Hydro企业 2019年3月遭到的攻击，丹麦铝业大佬Norsk Hydro在2019年3月18日和19日的深夜上下发觉了此次攻击，研究表明攻击者早就在发觉系统漏洞以前就可以浏览其系统软件。据报道，该攻击涉及到一个名叫LockerGoga的较新的勒索软件，该勒索软件致力于对受感柒电子计算机上的资料实现数据加密。该情况造成业务流程管理系统软件(BPMS)终断，驱使好几个网站关掉自动化技术实际操作。此外，勒索软件还终断了通常用以管理方法全部生产流程中的資源的IT系统间的通讯。这种信息流广告(例如包括商品库存量)终断，驱使该企业临时性关掉好几个加工厂并将丹麦、卡塔尔和墨西哥等国家的加工厂经营模式改成“可以采用的”手动式经营模式，以执行一些经营，例如让职工手动式解决6500好几个库存量企业和4000个仓储货架。依据FireEye集团旗下的企业 Mandiant对一个相近的例子的调研，在该实例中，TrickBot被用来在一家石油钻机生产商处布署Ryuk勒索软件。虽然感柒仅出现在局域网络上，但较大的业务流程危害是由Oracle ERP手机软件的终断导致的，该终断使企业临时离线，并对生产制造造成不良影响。
当勒索软件抵达OT互联网中根据IT的资本时，例如工业触摸屏(HMI)，监督控制和数据采集(SCADA)手机软件及其工程项目工作平台，很有可能会造成相近的結果。大部分机器设备取决于易受各种各样IT危害影响的产品手机软件和规范电脑操作系统。 Mandiant Intelligence依据比较敏感信息源掌握到最少有一次事情，该事件是因为规模性勒索软件攻击而造成工业生产设备停工。因为该设备的互联网按段不合理，进而使恶意程序从企业媒体传播到OT互联网，在这里OT网络服务器对服务器，HMI，工作平台和备份数据开展数据加密。
假如要减轻勒索软件的危害，必须在IT和OT上实现防御力
科学研究工作人员激励全部机构评定与勒索软件攻击相关的安全可靠和工业生产风险性。一定要注意，这种提议还有利于在对待别的对项目经营的危害(例如数据加密开采恶意程序感柒)时提高抵挡工作能力。虽然每一种状况都是会各有不同，但科研工作人员主要详细介绍下列提议。
- 开展网站渗透测试，以评定你机构的现阶段安全性情况及其对勒索软件危害作出回应的工作能力。仿真模拟攻击情景(关键在非生产性自然环境中)以掌握事情回应精英团队对具体事情的认识和回应工作能力。
- 核查经营、工作流程和工作流引擎，以鉴别针对保持持续工业生产经营非常重要的财产。
- 根据基于互联网或根据服务器的服务器防火墙逻辑性防护主财产和沉余财产，并开展后期的财产结构加固，例如，禁止使用通常被勒索软件用以其传递的服务项目，如SMB、RDP和WMI。除开建立对策来禁止使用多余的对等和远程桌面连接以外，大家还提议对很有可能承重这种服务项目和协议书的任何系统软件开展基本核查。
- 创建严谨的备份数据规章制度，应需注意保证备份数据的安全系数和一致性。此外，关键备份数据务必维持脱机工作，或最少维持在防护的互联网上。
- 依据修复時间总体目标提升修复方案，在修复期内引进需要的可选择工作内容(包含手动式步骤)，这针对关键财产比较有限或沒有沉余的机构特别是在关键。当从备份数据中修复时，加强恢复的资金和所有结构的根本构造，以避免反复的勒索软件感柒和散播。
- 创建对OT外部维护机器设备的确立使用权和管理方法，以保证可以在公司标准内开展应急变更。在抵制攻击时，务必维持合理的互联网按段。