伊朗油輪遭遇衛星網絡攻擊事件分析
責編：gltian ｜2025-03-28 14:38:29事件背景
3月18日，伊朗反政府黑客組織“Lab Dookhtegan”（波斯語意為“緊閉的雙唇”）宣布，已成功破壞兩家與政府有關聯的伊朗公司116艘油輪的通信。該組織聲稱，此次攻擊導致船上和陸地衛星通信中斷[i]。
Lab Dookhtegan是一個伊朗反政府黑客組織，成立于2019年左右，宣布開展旨在破壞伊朗政府網絡的行動。過去該組織與“人肉搜索”伊朗網絡間諜單位有關。
海上船舶與外界取得聯系的方式主要依賴無線通信，這包括近海4G/5G通信、VHF甚高頻通信、短波通信、衛星通信、搜救通信等途徑。4G/5G通信僅限于與陸地距離較近的場景，一旦船只遠離陸地，衛星通信便成了帶寬通信的唯一選擇。雖然現代通信設備可以連接到多個衛星以實現冗余，但很少有設備專為網絡彈性而設計。這使得船舶的通信設備成為單點故障，如果惡意行為者入侵通信設備，可以破壞船舶通信系統，甚至蔓延到IT和OT系統。
技術分析
通過互聯網信息跟蹤，Lab Dookhtegan組織在其私有Telegram頻道中公開的截圖如下：
通過對公開的電腦截圖進行分析發現，該VSAT終端進程中存在較多的falcon進程。根據我們研究經驗，結合falcon進程為iDirect品牌衛星調制解調器的主要進程這一特性，以及網卡MAC地址查詢結果與iDirect公司相符，再考慮到嵌入式系統版本信息Linux iDirect 2.6.35與iDirect公司產品的典型特征相匹配，綜合以上多方面證據，我們充分確定該衛星通信設備為iDirect公司的衛星調制解調器產品。
iDirect X7衛星調制解調器
該品牌隸屬于美國衛星通信行業巨頭STE公司（ST Engineering iDirect），該公司提供政府及軍用衛星通信產品，產品類型包括Direct調制解調器、集線器和衛星通信解決方案，主要服務于服務商、網絡運營商、政府機構、大型企業、軍隊等客戶。其衛星調制解調器產品主要分為：iQ系列、Evolution系列、Evolution Defense系列、Velocity系列、MDM系列、9系列等，其Evolution系列（現已退役）曾是衛星通信場景中“星狀網”的典型代表機型。包括型號：Evolution X3、Evolution X5、Evolution X7系列在海事上有著廣泛的應用，據已知信息獲知，我國目前仍有大量Evolution系列的設備正在服役。
iDirect星狀網結構圖
根據以上信息分析我們得出結論，該攻擊組織采用互聯網搜索工具（shodan）對暴露在互聯網上的iDirect終端進行掃描和測繪，并獲取了終端root權限，編寫自動攻擊腳本，利用終端自帶的dd指令對終端存儲器進行了擦除，從而破壞了終端系統，造成無法正常工作。若要恢復正常狀態，需重新對終端進行固件的刷寫以及衛星通信的參數配置，這在一定程度上與Viasat遭遇的網絡攻擊技術類似。
我們初步推測該組織獲取root權限的方式為弱口令登錄。iDirect系列調制解調器通常存在默認口令（root,P@55w0rd!），一般用戶不會主動修改該密碼導致默認口令的風險存在。另一方面，系統版本的陳舊也增加了較大風險，從截圖中可以看到，系統為2020年版本，OpenSSH等關鍵服務版本老舊，主要由于設備廠商較少提供系統更新服務導致。
造成的后果
Lab Dookhtegan公開的截圖顯示了一定數量的海上船只分布位置，以體現攻擊所達到的嚴重效果。
據我們的經驗分析，該攻擊會導致船只衛星通信的失效，但不會導致船只停運、停航等情況。船載VSAT系統終端較多用于互聯網應用，如船員上網，與總部通信等，但不會嚴重影響運輸業務，任務將會提前下發且有的船上會存在其它備份通信設備如衛星電話。另外目前多數船只的總線系統沒有實現完全信息化，黑客沒有聲明且暫時無法達到攻擊船只控制系統的目的。但隨著未來信息系統的進化，船只控制系統已經與網絡系統互通，會延伸到針對控制系統、導航系統、總線系統的破壞攻擊，后果將會給特種行業帶來較大的經濟損失。
同時，作為衛星通信的關鍵組件–衛星調制解調器，全球針對該類設備（調制解調器或者通信終端）的網絡攻擊已經呈現出擴大趨勢。2019年2月24日，給歐洲和烏克蘭提供衛星通信服務的Viasat衛星網絡遭遇攻擊，導致歐洲用戶大范圍通信中斷，持續幾十天無法正常使用衛星網絡。
星地探索公司在衛星安全的研究中發現過多個嚴重漏洞，涵蓋iDirect相關設備。除弱口令外，該系列產品還存在衛星網絡數據存在被竊聽和攻擊的風險，研究成果發表于國際黑客大會。我們于2024年針對國外幾個典型衛星調制解調器品牌和產品做了系統研究，對其進行了系統性的安全梳理，論文成果被ACM CCS會議收錄[ii]。因此該類攻擊不僅存在于海事行業，所有使用衛星通信的行業都應引起重視。
解決辦法
綜上所述，衛星調制解調器這類產品具有一定的特殊性，衛星調制解調器作為無線通信和網絡通信的橋接設備，其特殊的協議架構和通信模式使得傳統網絡安全產品難以提供有效防護。因此，設備制造商的安全設計和維護至關重要。目前針對該類產品，雖然市場缺乏有效的安全解決方案，但這并不意味著該類攻擊無法防御，本公司建議用戶從以下幾點出發從而提高衛星網絡的安全性。
1. 避免系統弱口令、默認口令的情況
用戶應及時修改默認密碼，設置復雜的訪問密碼，避免弱口令和默認口令的情況。還可在設備前面增加加密機或加密設備，降低通信信息的泄露風險。
2. 關鍵系統和設備應做好備份工作
關鍵系統和設備應做好備份工作，既要考慮防御攻擊，也要考慮被攻擊后的業務恢復能力。關鍵系統的備份工作分為軟備份和硬備份，軟備份包含軟件、操作系統、配置等相關數據的備份和恢復方案，硬件備份包括設備冗余、通道冗余等方法，可在被攻擊破壞后第一時間進行響應修復，避免造成被動局面。
3. 逐漸使用國產替代產品和方案
關鍵基礎通信設備存在一定的戰略價值，應避免使用國外產品，應優先采用國產化替代產品和方案，當前衛星調制解調器方面，我國衛通產業已經實現了國產化覆蓋，建議用戶做選擇的同時，考慮安全性和更好的服務支持。
4. 實施關鍵系統網絡隔離措施
用戶在建設對外的網絡通信時，互聯網網絡與核心系統必要時確保一定的隔離措施，可在一定程度上阻止攻擊破壞的蔓延，避免業務停擺造成損失。
給我們的啟示
1. 行業需要關注衛星系統安全
現有網絡安全解決方案局限于傳統網絡場景，難以滿足衛星通信等特殊場景的安全需求。考慮到衛星通信系統已廣泛應用于關鍵基礎設施和重要信息系統，其安全防護體系亟需專門化設計和升級。
2. 設備廠商需要重視安全
國產衛星通信設備制造商應重視系統安全性，建立完善的安全更新和漏洞修復機制。以SpaceX的”星鏈”系統為例，其在安全防護設計方面的持續投入，不僅提升了用戶信任度，也強化了產品競爭優勢。這啟示我們，衛星通信產品的競爭力不應局限于基礎通信功能，還需將安全性作為核心競爭要素。
3. 衛星通信運營商需承擔起安全防護的責任
該類攻擊事件顯示，攻擊者完全繞過無線通信信道，僅通過互聯網對調制解調器發起遠程攻擊，這暴露出衛星通信運營商在網絡配置和安全防護方面的嚴重缺陷。作為通信基礎設施的運營方，衛星通信運營商應當加強網絡安全管理，確保調制解調器系統的安全配置和訪問控制。建議的防護措施如下，包括但不限于：避免終端設備直接暴露于互聯網；實施多層防火墻策略，嚴格控制訪問權限；建立系統更新和安全漏洞機制；定期進行安全審計和滲透測試。
星地探索公司作為國內唯一一家專注于衛星安全與太空安全領域的新型企業，憑借自身的技術積累與豐富經驗，將積極履行社會責任，致力于為行業提供高效、可靠的安全產品及解決方案。
[i]https://cydome.io/lab-dookhtegan-cyber-attack-on-iranian-oil-tankers-disrupts-operations
[ii]https://dl.acm.org/doi/abs/10.1145/3658644.3670390
聲明：本文來自