2026-02-17 20:01:36 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 该月报概述了2026年1月工控安全领域动态。政策方面，中国多部门发布文件，强调AI与工业融合中的安全护航、数据分类分级及供应链保护。事件方面，全球关键基础设施频遭攻击，如罗马尼亚能源企业勒索、波兰电网遇袭，多起事件涉及国家级APT组织。蜜罐数据显示EGD等协议攻击量上升。俄乌冲突背景下，工控系统网络探测活动增加。报告建议企业强化边界防护、及时修补漏洞、加强员工安全意识并建立应急协作机制。 综合评分： 85 文章分类： 漏洞预警,威胁情报,政策法规,安全运营,应急响应

cover_image

谛听工控安全月报 | 1月

谛听网络安全团队谛听网络安全团队

谛听ditecting

2026年2月12日 09:01 江苏

1月工控安全月报目录

– 谛听 –

01 工控安全相关政策

工业和信息化部等八部门关于印发《“人工智能+制造”专项行动实施意见》的通知
五部门关于公布2025年度视听系统典型案例的通知
工业和信息化部印发《工业互联网和人工智能融合赋能行动方案》
工业和信息化部等五部门联合印发《工业绿色微电网建设与应用指南（2026—2030年）》
工信部印发《推动工业互联网平台高质量发展行动方案（2026—2028年）》
工信部印发《优质中小企业梯度培育管理办法》
交通运输部起草《交通运输数据安全管理办法（征求意见稿）》公开征求意见

02 工控安全相关事件

罗马尼亚火电龙头企业遭勒索软件攻击，IT基础设施全部瘫痪
透明部落针对印度政府及学术机构发起新型RAT攻击
西班牙能源巨头Endesa遭网络攻击致客户数据泄露
波兰全国可再生能源设施遭遇大规模网络攻击
俄APT组织利用PLUGGYAPE恶意软件攻击乌国防部队
UAT-8837组织利用零日漏洞瞄准北美关键基础设
亲俄黑客组织对英国关键基础设施发动DDoS攻击
黑客利用telnetd身份认证绕过漏洞获取root权限

03 蜜罐数据分析

04 俄罗斯、乌克兰联网工控设备分析

d i t e c t i n g

工控安全相关政策

01 工业和信息化部等八部门关于印发《“人工智能+制造”专项行动实施意见》的通知

1月7日，工业和信息化部、中央网信办、国家发展改革委等八部门联合印发《“人工智能+制造”专项行动实施意见》（以下简称《意见》）。《意见》第七部分”安全护航”系统部署工控安全工作：一是提升安全保障能力，重点攻关深度合成鉴伪、工业模型算法安全防护、对抗样本检测等关键技术，建设工业安全大模型，通过知识库优化与生成内容标识增强人工智能透明度与可解释性；二是建立安全治理机制，研究制定人工智能分类分级标准，构建风险监测预警技术体系，强化产业链协同处置能力。同时，《意见》在生产制造环节明确要求强化产线实时监测与预测性维护，实现设备故障精准识别与安全生产风险预警；配套发布的《制造业企业人工智能应用指南》进一步细化数据安全防护、应用风险防范及网络安全防护要求。该《意见》通过技术攻关与机制建设双轮驱动，为人工智能深度赋能制造业提供全链条安全保障，有力支撑新型工业化安全发展。

参考链接：

https://www.miit.gov.cn/zwgk/zcwj/wjfb/tz/art/2026/art_01010414608a4226b30687773bb21bdf.html

02 五部门关于公布2025年度视听系统典型案例的通知

1月5日，工业和信息化部、文化和旅游部、国家广播电视总局、国家知识产权局、中央广播电视总台联合发布《关于公布2025年度视听系统典型案例的通知》（以下简称《通知》）。《通知》经专家评审和公示，确定86项典型案例，其中安全相关案例聚焦三大方向：一是强化信息安全防护，推广基于防窃密技术的智能会议系统，有效防止会议数据窃取，保障商业机密安全；二是提升工业操作可靠性，在矿山遥控等高危场景应用光场裸眼3D显示系统，显著降低事故风险，增强设备操作安全性；三是保障数据隐私保护，在教育及交通领域实施安全音视频传输方案，强化数据加密与用户隐私防护机制。这些案例覆盖能源、交通、教育等关键基础设施领域，推动视听技术与安全防护深度融合，解决传统系统重功能轻安全的突出问题，为工业控制系统安全提供创新实践参考，助力国家网络安全体系建设。

参考链接：

https://www.miit.gov.cn/zwgk/zcwj/wjfb/tz/art/2026/art_1a6b9ef79bc84079bd9c90c67275b8cf.html

03 工业和信息化部印发《工业互联网和人工智能融合赋能行动方案》

1月6日，工业和信息化部印发《工业互联网和人工智能融合赋能行动方案》（以下简称《方案》）。《方案》通过实施基础底座升级、数据模型互通、应用模式焕新、产业生态融通四大行动，推动工业互联网与人工智能深度融合。在基础底座方面，要求加快工业网络开放智能升级，支持企业运用时间敏感网络、单对线以太网等技术推动工业网络控网算一体化演进，攻关5G可编程逻辑控制器、AI路由器等产品；强化工业智能算力供给，加快边缘一体机、智能网关部署，推动端侧设备智能化升级。特别强调推动人工智能赋能网络安全技术创新，提升工业网络高通量、低时延、高可靠、低抖动通信能力，构建自组网、自管理、自优化、自修复的智能化网络。《方案》设定到2028年推动不少于50000家企业实施新型工业网络改造升级，在20个重点行业打造高质量数据集，培育智能化解决方案供应商促进大中小企业协同升级，为构建安全可控的工业互联网体系提供系统性支撑。

参考链接：

https://www.miit.gov.cn/jgsj/xgj/wjfb/art/2026/art_fe01c168527a406684144a921c5c948b.html

04 工业和信息化部等五部门联合印发《工业绿色微电网建设与应用指南（2026—2030年）》

1月9日，工业和信息化部办公厅、国家发展改革委办公厅、国务院国资委办公厅、市场监管总局办公厅、国家能源局综合司联合印发《工业绿色微电网建设与应用指南（2026—2030年）》（以下简称《指南》）。《指南》聚焦工业绿色微电网安全建设，明确三项核心要求：一是构建覆盖规划设计、施工验收至运行维护的全生命周期安全管理体系，严格执行标准规范，强化核心装备技术参数核查与储能系统热失控防护；二是强化网络安全防护，在电解铝、算力设施等重点场景建立风险预案，加强重要系统防护与关键数据识别保护机制；三是规范涉网安全管理，通过统一数据接口和通信协议实现与大电网的安全协同，保障微电网”友好并网”。针对当前工业微电网安全责任边界模糊、防护能力薄弱等痛点，《指南》提出系统性解决方案，将推动工业能源系统安全稳定运行，为制造业绿色低碳发展提供坚实技术支撑。

参考链接：

https://www.miit.gov.cn/zwgk/zcwj/wjfb/tz/art/2026/art_44c5364d80b748e4b797bc115388c6aa.html

05 工信部印发《推动工业互联网平台高质量发展行动方案（2026—2028年）》

1月13日，工业和信息化部印发《推动工业互联网平台高质量发展行动方案（2026—2028年）》（以下简称《方案》）。《方案》提出，到2028年基本建成泛在互联、数智融合的新一代工业互联网平台生态，平台体系规模和能力同步提升，具有一定影响力的平台将超过450家，工业设备连接数突破1.2亿台（套），平台普及率达到55%以上。在安全保障方面，《方案》聚焦三大核心任务：一是实施工业互联网安全分类分级管理，要求平台企业落实自主定级、分级防护及安全整改，强化网络安全基础能力；二是构建数据安全责任体系，推动重要数据识别备案、分级防护与风险评估，提升数据安全监测预警与应急处置技术能力；三是通过聚”数”提”智”行动释放工业数据要素价值，建立数据跨域管控机制，为数据流通提供安全可信环境。《方案》同步部署平台培育培优、规模化应用及生态支撑行动，着力解决当前平台发展中的安全短板，推动工业互联网在安全可控前提下实现规模化应用，为制造业数智化转型和新型工业化提供坚实保障。

参考链接：

https://www.miit.gov.cn/jgsj/xxjsfzs/gzdt/art/2026/art_926b6c211725491ca89ca218379405e1.html

06 工信部印发《优质中小企业梯度培育管理办法》

1月16日，工业和信息化部印发《优质中小企业梯度培育管理办法》（以下简称《办法》）。《办法》构建科技和创新型中小企业、专精特新中小企业、专精特新“小巨人”企业三级梯度培育体系，明确分层认定标准与程序，要求企业须满足细分市场专注度、研发投入强度及知识产权质量等核心指标。在动态管理方面，《办法》将重大网络和数据安全事件纳入企业取消认定的刚性情形，规定发生此类事件的企业将被取消称号且三年内不得重新申报，同时要求企业每3年进行复核并定期更新信息。各级主管部门需依托培育平台加强风险监测，对专精特新“小巨人”企业的重大风险须及时上报工业和信息化部。该政策自2026年4月1日起实施，通过规范培育流程、强化安全监管，推动中小企业专精特新发展，提升产业链供应链韧性和安全水平，为新型工业化建设提供坚实支撑。

参考链接：

https://www.miit.gov.cn/zwgk/zcwj/wjfb/tz/art/2026/art_5546b1a622ea4d73bd2ca395b73bd4eb.html

07 交通运输部起草《交通运输数据安全管理办法（征求意见稿）》公开征求意见

1月14日，交通运输部起草《交通运输数据安全管理办法（征求意见稿）》（以下简称《办法》），面向社会公开征求意见。《办法》旨在贯彻落实《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及《网络数据安全管理条例》等法律法规要求，规范交通运输领域数据处理活动，保障数据安全。《办法》聚焦三大核心：一是建立交通运输数据分类分级保护机制，明确不同级别数据的安全管理要求与责任主体；二是强化数据全生命周期安全防护，覆盖采集、存储、使用、共享等环节的技术管控与操作规范；三是完善安全监测预警与应急响应体系，提升行业对数据泄露、滥用等安全事件的处置能力。《办法》将推动交通运输行业数据安全管理标准化，解决当前数据处理活动中存在的安全责任不清、防护措施薄弱等问题，为构建安全可靠的交通运输数据生态提供制度保障。

参考链接：

https://www.mot.gov.cn/hudong/yijianzhengji/202601/t20260122_4198444.html

d i t e c t i n g

工控安全相关事件

01 罗马尼亚火电龙头企业遭勒索软件攻击，IT基础设施全部瘫痪

12月26日，罗马尼亚最大火电企业奥尔特尼亚能源综合体确认遭受勒索软件攻击，IT基础设施全面瘫痪，导致企业资源规划系统、文档管理平台、电子邮箱服务及官方网站等关键业务系统中断。该公司作为国家能源核心供应商，运营4座发电厂，总装机容量3900兆瓦，承担全国约30%的电力供应，员工规模达1.9万余人。攻击造成内部业务流程部分受阻，但未波及国家电网安全运行。事件发生后，公司立即启动应急响应，在隔离环境中重建系统架构并依托历史备份恢复服务，同时向国家网络安全局、能源主管部门及有组织犯罪调查局提交刑事投诉。目前正评估攻击者是否在加密前窃取敏感数据，初步迹象指向Gentlemen勒索软件团伙，该组织惯用暴露互联网服务的凭证漏洞实施入侵，但尚未公开声称此次事件。鉴于罗马尼亚关键基础设施近期频遭网络攻击，专家建议能源企业强化边界防护措施，定期验证备份完整性，并建立与执法部门的快速协作机制以提升整体安全韧性。

参考链接：

https://www.bleepingcomputer.com/news/security/romanian-energy-provider-hit-by-gentlemen-ransomware-attack/

02 透明部落针对印度政府及学术机构发起新型RAT攻击

1月6日，网络安全机构披露名为“透明部落（APT36）”的黑客组织针对印度政府及学术机构实施新型远程访问木马攻击。攻击者通过钓鱼邮件发送伪装成PDF文档的恶意LNK文件，用户打开后触发HTA脚本执行，直接在内存中加载RAT载荷并同步显示诱饵PDF以规避察觉。该木马根据目标系统安装的杀毒软件动态调整持久化策略，例如针对卡巴斯基创建启动目录文件，针对Quick Heal生成批处理脚本，确保在不同安全环境下维持长期驻留。其核心组件支持远程系统控制、文件窃取、屏幕截图及剪贴板监控等功能，并通过反转字符串的HTTP端点与C2服务器通信规避检测。此次攻击主要针对印度政府部门、教育机构及战略实体，延续该组织自2013年以来的情报收集行动。专家建议立即排查系统中可疑LNK文件及启动项，更新终端防护规则以识别内存攻击行为，对关键部门实施网络隔离措施。企业应加强员工钓鱼邮件识别培训，定期验证备份完整性，并监控注册表与启动目录的异常变更，以应对高度定向的网络间谍威胁。

参考链接：

https://thehackernews.com/2026/01/transparent-tribe-launches-new-rat.html

03 西班牙能源巨头Endesa遭网络攻击致客户数据泄露

1月12日，西班牙能源巨头Endesa确认遭受网络攻击，导致部分客户个人数据泄露。攻击者非法获取了客户能源合同信息、联系方式、身份证号码及支付方式等敏感数据，但客户登录密码未被波及。公司经核查明确表示，目前无任何数据被用于欺诈活动的记录，因此评估此次事件对客户权利和自由的高风险影响可能性较低。Endesa在西班牙和葡萄牙服务超过1000万客户，但未披露具体受影响人数及攻击发生时间。事件发生后，公司安全协议迅速有效控制了局面，已启动全面内部调查，并依法向西班牙数据保护机构等相关部门提交了泄露报告。鉴于能源行业数据安全的重要性，建议企业强化数据分类管理与端到端加密措施，定期开展安全审计；客户应提高警惕，密切关注账户活动，及时报告异常行为以防范潜在风险。

参考链接：

https://www.barrons.com/news/hack-hits-spanish-energy-giant-endesa-s-client-data-419ba37d

04 波兰全国可再生能源设施遭遇大规模网络攻击

1月13日，波兰数字事务部长克日什托夫·高科夫斯基披露，该国挫败近年来最严重的能源基础设施网络攻击，险些引发全国大规模停电，攻击呈现协同破坏特征，疑似俄罗斯主导。据能源部长透露，攻击发生于去年12月末，目标是全国可再生能源设施与配电运营商的通信链路，涉及太阳能电站、风力发电机等小型电力来源，与以往聚焦大型电厂的攻击模式不同，属新型攻击。高科夫斯基称，此次攻击是蓄意切断波兰民众电力供应的行动，所有线索指向俄罗斯。作为北约成员国及乌方关键支持者，波兰自2022年俄乌冲突爆发后，关键基础设施遭网攻频次持续上升。能源部长表示此类攻击此前未出现过但或再发生，未披露技术细节及防护措施。当前俄持续轰炸乌能源系统引发能源危机，此次波兰遇袭凸显小型能源节点成网攻新靶点。专家建议强化能源通信防护，排查隐患、加强国际协同，应对地缘性网络威胁。

参考链接：

https://therecord.media/poland-cyberattack-grid-russia

05 俄APT组织利用PLUGGYAPE恶意软件攻击乌国防部队

1月14日，乌克兰计算机应急响应小组（CERT-UA）披露国防部队遭受新型网络攻击，攻击者使用PLUGGYAPE恶意软件。政府专家以中等可信度将此次攻击归因于俄罗斯关联组织Void Blizzard（又名Laundry Bear），该组织自2024年起持续活跃。攻击链始于社交工程，攻击者通过即时通讯应用诱导目标访问伪装成慈善基金会的虚假网站，下载伪装为文档的恶意可执行文件，常使用’.docx.pif’等误导性扩展名。PLUGGYAPE是基于Python的后门程序，安装后使攻击者获得远程访问权限，采用MQTT协议通信并具备虚拟机检测等反分析功能，命令控制服务器信息常隐藏于Pastebin等公共网站。CERT-UA监测到自2025年12月起攻击者部署混淆处理的PLUGGYAPE.V2变种。当前威胁态势显示，攻击者日益使用乌克兰语、本地电话号码及即时通讯工具实施精准攻击，主流通讯软件已成为传播威胁的主要渠道。专家建议国防机构强化员工安全意识培训，严格管控即时通讯软件使用，并实施网络行为监控以防范类似威胁，同时警惕攻击者通过合法账户获取目标信任的新型攻击手法。

参考链接：

https://cert.gov.ua/article/6286942

CERT-UA reports PLUGGYAPE cyberattacks on defense forces

06 UAT-8837组织利用零日漏洞瞄准北美关键基础设施

1月16日，网络安全机构Cisco Talos披露代号UAT-8837的高级持续性威胁组织持续针对北美关键基础设施发起定向攻击。该组织被评估以中等置信度可能与中国存在关联，自2025年起聚焦北美关键基础设施部门，利用零日漏洞（CVE-2025-53690, CVSSv3：9.0）和开源工具混合策略实施入侵。攻击者通过漏洞利用或凭证窃取进入网络后，采用白利用策略部署Earthworm网络隧道工具暴露内部端点、GoToken Theft程序窃取访问令牌提升权限，以及SharpHound与Certipy工具进行Active Directory深度侦察，窃取凭证、安全配置及域信息。历史追踪显示，该组织曾窃取受害者的DLL共享库，存在未来植入恶意代码发起供应链攻击的显著风险，可能波及下游客户。此外，攻击者通过创建后门账户和禁用RDP安全功能维持持久访问。专家建议关键基础设施运营方立即审查SiteCore产品配置、及时应用安全补丁、强化网络分段策略，并实施软件供应链安全审计以防范潜在供应链攻击。

参考链接：

Zero-Day Threat: UAT-8837 Targets North American Infrastructure

https://nvd.nist.gov/vuln/detail/CVE-2025-53690

07 亲俄黑客组织对英国关键基础设施发动DDoS攻击

1月20日，英国国家网络安全中心（NCSC）发布预警，指出多个与俄罗斯关联的黑客行动主义组织持续对英国关键基础设施及地方政府系统发动分布式拒绝服务（DDoS）攻击。代表性团体包括 NoName057(16)，该组织自2022年活跃以来，频繁针对支持乌克兰的国家发起攻击，曾在2023年影响瑞典政府系统、对德国250余家机构实施多轮攻击，并干扰瑞士乌克兰和平峰会相关活动。2025年12月NCSC已联合国际伙伴警告其针对北约及欧洲国家的攻击活动。相关攻击技术门槛较低，但易导致严重运营中断与经济损失；动机纯属意识形态对抗，反对西方支持乌克兰，而非经济获利。这些亲俄黑客组织拥有数千名支持者及数百台服务器组成的自建僵尸网络，同时部分团体还利用薄弱VNC连接入侵工控系统设备，主要针对水、食品、农业和能源等关键部门，造成服务中断和潜在物理损坏风险。NCSC建议相关机构立即排查服务弱点、部署第三方DDoS防护服务、启用可扩展基础设施、制定响应计划并加强常态化监测。专家强调，应严格验证系统安全性，定期测试防御措施，以快速应对潜在攻击，确保关键服务连续性。

参考链接：

UK NCSC warns of Russia-linked hacktivists DDoS attacks

08 黑客利用telnetd身份认证绕过漏洞获取root权限

1月23日，研究人员监测到针对GNU InetUtils telnetd服务器中存在长达11年的高危漏洞（CVE-2026-24061, CVSSv3：9.8）的协同攻击活动，该漏洞于当日披露，利用难度低且多个POC公开。漏洞源于telnetd组件在调用“/usr/bin/login”程序时未净化用户可控的USER环境变量，攻击者通过设置USER为“-f root”并使用“telnet -a”命令连接，即可绕过身份验证直接获取系统root权限。影响范围涵盖GNU InetUtils 1.9.3（2015年发布）至2.7版本，涉及Debian 12、Debian 13、Ubuntu 24.04+及Kali Linux等主流Linux发行版。由于Telnet在工控系统中因简单低开销而广泛部署于物联网设备、工业传感器及OT网络，该漏洞对关键基础设施安全构成潜在威胁。官方已在2.8版本修复漏洞，部分发行版提供专属安全补丁；无法升级的用户建议立即禁用telnetd服务或在防火墙中封禁TCP 23端口。GreyNoise监测显示，1月21日至22日发生真实攻击活动，源自18个恶意IP，83.3%针对root用户，攻击者尝试自动化侦察和持久化但部分失败。建议相关系统尽快修补或实施缓解措施，避免攻击链优化后导致更严重安全事件。

参考链接：

https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-telnetd-auth-bypass-flaw-to-get-root/

https://nvd.nist.gov/vuln/detail/CVE-2026-24061

d i t e c t i n g

蜜罐数据分析

谛听”工控蜜罐在1月份收集到大量针对不同工控协议、来自不同地区的工控网络攻击数据。图1、图2和图3中展示了经过统计和分析后的数据，以下将对各个图表进行简要说明。

图1展示了1月份和12月份受到攻击量最多的10种工控协议蜜罐的对比情况。从图中可以看到，1月份EGD协议的攻击量大幅增加，Siemens S7协议的攻击量小幅增加，而其他工控协议的攻击量均有所减少。

图1. 1月份和12月份蜜罐各协议攻击量对比TOP10

（数据来源“谛听”）

图2展示了1月份和12月份攻击量最多的10个国家的对比情况。从图中可以看到1月份英国和法国的攻击量有大幅增加，德国的攻击量有大幅减少，其他国家的攻击量变化较小或略有增减。

图2. 1月份和12月份其他各国对蜜罐的攻击量对比TOP10

（数据来源“谛听”）

由图3可以看出，1月份来自浙江的流量最多，来自江苏的流量位居第二，来自上海的流量位居第三。排名靠前的省市基本为沿海区域或工业发达区域，此外其他省份的流量有所波动。

图3. 1月份中国国内各省份流量TOP10（数据来源“谛听”）

d i t e c t i n g

俄罗斯、乌克兰

联网工控设备分析

2026年1月，俄乌冲突持续呈现高强度消耗战态势，焦点集中于顿涅茨克和卢甘斯克地区前线。双方广泛使用无人机进行侦察与精确打击，地面部队推进有限，但局部交火频繁。能源基础设施成为关键目标，俄军加强对乌电网和能源节点的导弹及滑翔炸弹袭击，导致乌多地停电；乌军则利用远程武器反击俄境内炼油厂、军事基地和克里米亚后勤设施。网络空间行动活跃，观察到针对工控系统和关键信息的探针活动增加，疑似为潜在网络攻击做准备。外交层面，西方盟友加速提供防空系统和F-16战机援助，但俄电子战措施部分削弱其效能，整体局势保持僵持。

为了深入了解俄罗斯和乌克兰的工控领域状况，团队持续关注并进行了探测，以获取被扫描设备的详细信息。

/ 2026年1月俄罗斯、乌克兰暴露工控设备相关协议 /

从图4乌克兰各协议暴露数量对比图中可以看出，1月探测到的数量相比于12月份，AMQP、Modbus、Moxa Nport、Siemens S7协议暴露的数量减少，XMPP协议暴露数量增加，其他协议没有变化，保持稳定。同时联网摄像头暴露数量相比12月减少，由834下降至713。

图4. 12月、1月乌克兰各协议暴露工控资产数量对比

（数据来源“谛听”）

俄罗斯的各协议暴露数量对比如图5所示。从图中可以看出，与12月相比，1月AMQP、IEC 60870-5-104、Moxa Nport协议暴露数量减少，Modbus、Siemens S7、XMPP协议暴露数量增加，其他协议暴露数量稳定。1月联网摄像头暴露数量相比12月减少，由1172下降至1128。

后续团队将对相关信息持续关注。

图5. 12月、1月俄罗斯各协议暴露工控资产数量对比

（数据来源“谛听”）

end

扫码关注我们

微信号｜谛听ditecting

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：谛听ditecting 谛听网络安全团队谛听网络安全团队《谛听工控安全月报 | 1月》