每起 OT 安全事件的攻擊鏈中都有一份檔案：《2024–2026 年 ICS/OT 威脅情勢分析》

在過去兩年裡，針對工業控制系統與營運技術的攻擊，已從理論上的風險轉變為實際的運作現實。國家級攻擊者不再僅是預先在關鍵基礎設施內部佈署，而是已開始付諸行動。對於以營運技術環境為目標的國家資助攻擊者而言，刪除型惡意軟體已取代勒索軟體，成為首選武器。幾乎所有重大事件都存在一個共同的模式：惡意檔案穿越了無人監控的信任邊界。

本文將帶您深入探討 2024 年至 2026 年初的 ICS/OT 威脅態勢，這並非一份羅列 APT 名稱與 CVE 編號的清單，而是一段敘事。我們首先從全局切入：事件的經過與時間軸。接著探討幕後黑手是誰、他們如何下手，最後將深入剖析一宗具體事件，從內部視角呈現現代 ICS 抹除攻擊的真實樣貌。

關鍵數據

• 2025 年，共有 119 個勒索軟體集團積極鎖定營運技術（OT）環境，較 2024 年的 80 個增加了 49%

• 在所有 OT 勒索軟體受害者中，超過三分之二是製造商，這是遭受攻擊最頻繁的單一產業

• Volt Typhoon 在一家美國電力公司的運維（OT）網路中隱蔽運作超過 300 天

• 僅在 2024 至 2025 年間，就有六起「Wiper」攻擊行動鎖定 ICS/OT 目標，數量超過任何可比時期

在分析這些攻擊的幕後黑手或運作方式之前，先透過時間軸來檢視這些事件會有所幫助。下表彙整了此期間所有重大的工業控制系統（ICS）／營運技術（OT）事件——並依產業類別、威脅行為者及地理位置進行標記——讓您在深入探究前能先掌握整體脈絡。

攻擊步伐正在加快。僅2025年一年，針對工業控制系統（ICS）與營運技術（OT）的明確「Wiper」攻擊行動，就比以往任何一年都多。地理範圍也已擴大，從烏克蘭與俄羅斯的戰區延伸至北約成員國（如波蘭）、西歐（包括挪威）以及中東（包括以色列）。受影響的產業領域也已從能源和水資源擴展至醫療保健、電信和製造業。

這些攻擊雖針對不同的國家、產業及受害者，但其起始方式卻如出一轍：皆始於一個成功躲過所有人防線的檔案。只要觸發其中一個，你便能立即察覺，它正是為了破壞而設計的。

上述的時間軸雖然緊湊，但並非隨機。這些事件主要集中在少數幾個行動團體周圍，每個團體都有其獨特的動機、能力及首選目標。

俄羅斯——仍是對工業控制系統（ICS）威脅最為猖獗的來源

在此期間，與俄羅斯有關聯的行為者佔據了針對工業控制系統（ICS）攻擊活動的最大比例，並透過多個扮演不同角色的團體進行運作。

「沙蟲」（ELECTRUM）仍是全球最具實力的工業控制系統（ICS）攻擊組織。該組織於 2025 年 12月針對波蘭電力網發動的攻擊行動，鎖定了約 30 處分散式能源設施，包括熱電聯產設施，以及風力與太陽能等再生能源調度系統。這標誌著首起針對分散式能源資源的大規模、有組織的網路攻擊。

該次攻擊中部署的 DynoWiper 惡意軟體是一種針對能源基礎設施的 Windows PE 擦除型惡意軟體。它抹除了分散式能源（DER）站點上的 Windows 系統，並使部分營運技術（OT）及工業控制系統（ICS）設備損壞到無法修復的程度。雖然未造成停電，但攻擊者已取得對電網運作至關重要的營運技術系統的存取權限。

此前，他們的「PathWiper」行動曾利用一個 VBScript 載入程式，搭配能破壞主引導記錄（MBR）和MFT 覆寫所有磁碟機檔案的 PE 格式清除程式，鎖定烏克蘭的關鍵基礎設施。2024 年，他們針對烏克蘭的電信基礎設施部署了名為「AcidPour」的 Linux ELF 格式清除程式，並策劃了一場針對能源與供水系統的供應鏈攻擊。

KAMACITE扮演著基礎設施支援層的角色。2025年，觀察到這個與俄羅斯總參謀部（GRU）有關聯的組織，對美國的工業目標進行偵察掃描，這代表著歷史上通常在「ELECTRUM」破壞行動展開前會進行的預先部署活動。

中國——沉穩、深邃且版圖不斷擴張

中國的做法與俄羅斯截然不同。俄方勢力專注於破壞，而中方勢力則持之以恆。

已確認「VOLTZITE」（Volt Typhoon）在美國某電力公司的營運技術（OT）網路內潛伏超過 300 天，期間竊取了氣體絕緣開關（GIS）數據及 OT 系統配置。此舉並非純粹為了間諜活動。其預先佈署的模式，顯示其正為未來破壞美國電力基礎設施做準備。

2025年，SYLVANITE 的初始存取中介者迅速將 Ivanti VPN 設備、F5 裝置及其他邊緣基礎設施中的漏洞轉化為攻擊武器。這些立足點隨後被導入 VOLTZITE 管道，用於進行更深入的營運技術（OT）入侵。攻擊目標範圍擴大，涵蓋了電力及自來水公用事業。

AZURITE 是一個於 2025 年被追蹤到的全新組織，代表著與中國有關聯的營運技術（OT）攻擊活動已升級。AZURITE 正積極鎖定美國、澳洲及歐洲各地製造業、國防業和汽車業的 OT 工程工作站。該組織主要致力於竊取網路拓撲圖、警報資料及製程配置。

伊朗——越界並演變成肢體衝突

在此期間，伊朗的國家資助行為者發生了決定性的轉變，從機會主義式的入侵轉向有針對性地攻擊實體系統。

CyberAv3ngers（BAUXITE / IRGC）於 2023 至 2024 年間入侵了美國多處供水設施的 75 台以上設備，其中包括直接接管賓夕法尼亞州某加壓站的可程式邏輯控制器（PLC）。其 IOCONTROL 惡意軟體是一種 Linux 二進位檔，將基於 MQTT 的指揮與控制機制嵌入設備韌體更新套件中，專為入侵營運技術（OT）設備而設計。 2025年，BAUXITE 組織針對以色列的能源與儲能基礎設施，部署了 BlueWipe-SewerGoo 擦除型惡意軟體變種。

PYROXENE（IRGC-CEC，與 APT35 有重疊）於 2025 年針對以色列和阿爾巴尼亞的關鍵基礎設施及政府網路發動攻擊。該組織結合了社會工程學與供應鏈入侵手法，藉此投放 PE 擦除型載荷。

Handala體現了駭客行動主義與國家主導的破壞行為之間那條日趨模糊的界線。多家威脅情報公司評估認為，該組織是名為 Void Manticore 的威脅行為者的掩護組織，並受到伊朗情報與安全部的資助。該組織於 2023 年底浮出水面，此後便持續對以色列目標發動抹除式攻擊。

他們的攻擊工具包在技術上相當精巧。這些釣魚電子郵件通常以流利的希伯來文撰寫，其中包含一個 NSIS 安裝程式，該程式會執行 AutoIT 腳本，將資料抹除程式注入合法的 Windows 程序中。最終的有效載荷會用隨機生成的資料覆寫檔案，利用存在漏洞的驅動程式提升權限，並透過 Telegram 的API 竊取系統資訊API 銷毀資料。

這個安裝程式包含許多動態組件——檔案被分割、賦予偽名，並在執行過程中拼湊出各種指令。但每個步驟其實只是將另一個檔案釋放並執行罷了。觸發這個樣本後，便能揭示在資料清除程式刪除任何內容之前，整個運作流程。

在涉及不同行為者、領域及地理區域的所有這些事件中，都顯現出一套一致的模式。

雨刷已成為主要的破壞工具

這是工業控制系統（ICS）與營運技術（OT）威脅活動中最顯著的趨勢。 僅在 2024 至 2025 年間，就有至少六起針對工業及關鍵基礎設施環境的獨立抹除式攻擊行動：DynoWiper 鎖定波蘭能源部門、PathWiper 鎖定烏克蘭關鍵基礎設施、AcidPour 鎖定烏克蘭電信業、BAUXITE 或 BlueWipe-SewerGoo 鎖定以色列能源部門、PYROXENE 鎖定以色列與阿爾巴尼亞的政府及關鍵基礎設施，以及 Handala 鎖定全球醫療保健領域。

這些清除工具的攻擊目標日益精準。DynoWiper 專門針對波蘭的能源基礎設施展開攻擊，清除分散式能源站點中基於 Windows 的電腦，並使部分營運技術（OT）設備徹底損毀、無法復原。PathWiperMFT 覆寫MFT 破壞主開機記錄（MBR）MFT ，使資料復原難度達到極致。AcidPour 則鎖定嵌入式 Linux 裝置，清除營運技術設備中使用的 UBI 卷宗及 Device Mapper 分區。

Handala 針對 Stryker 的攻擊展現了另一種演變模式。攻擊者並未大規模部署客製化惡意軟體，而是濫用一款名為 Microsoft Intune 的合法企業管理工具，同時對所有已註冊裝置發出大規模清除指令。此舉實際上將該組織自身的基礎設施轉化為攻擊武器。這些並非將通用工具轉用於 OT 環境，而是專為其影響的環境所設計或被挪作他用的工具。

針對工業控制系統（ICS）的惡意軟體正變得日益複雜

FrostyGoop 作為一個里程碑，值得特別關注。該惡意軟體於 2024 年 1 月針對利維夫區域供熱系統發動攻擊，是首個在實際運作環境中直接利用 Modbus TCP 協定的惡意軟體。它以 Go 語言編寫並編譯為 Windows PE 二進位檔，透過工程網路傳播，並藉由檔案傳輸從 IT 系統滲透至 OT 系統。此次攻擊導致超過 600 棟公寓大樓在零度以下的低溫中斷供暖長達兩天。

FrostyGoop 之所以重要，是因為 Modbus TCP 在全球工業環境中被廣泛使用。這款惡意軟體顯示，攻擊者已不再僅針對鄰近營運技術（OT）的 Windows 工作站，而是開始編寫能直接與工業通訊協定進行通訊的程式碼。

FrostyGoop 的目的就體現在其載入的程式碼中——它所引用的函式庫僅有一個用途：與工業控制器進行通訊

工業控制系統（ICS）與營運技術（OT）攻擊所呈現的模式，揭示了一個不變的事實：未知且難以偵測的威脅會以檔案形式滲入系統環境，跨越信任邊界，並在傳統防禦機制來得及反應之前便已執行。要阻止這類攻擊，必須同時具備深入的行為分析能力，以及在惡意程式執行前預判其意圖的能力。

MetaDefender 是OPSWAT統一式零日漏洞偵測解決方案，旨在揭露隱藏於檔案中的未知與隱蔽威脅。該解決方案將自適應沙箱、威脅情報、威脅評分及機器學習相似性搜尋整合為單一偵測流程，針對每個檔案提供可信賴的判定結果。

透過在模擬環境中觸發檔案，Aether 能揭露靜態分析工具無法偵測的隱藏行為，例如勒索軟體邏輯、程式碼注入、反分析技術以及多階段載荷。它將這些發現與數十億個威脅指標進行關聯分析，藉此識別風險、發現變種，並將活動與已知的攻擊者技術進行對應。

此方法使組織能夠偵測存在於可執行檔、腳本、壓縮檔及修補檔中的零日威脅，且這些檔案無法被淨化或修改。此外，它亦符合受監管產業的合規要求，這些產業不僅強制要求進行動態分析，同時必須確保檔案完整性。