黑客可能利用物联网僵尸网络操纵能源市场

2016年秋天的一个周五早上，Mirai僵尸网络对互联网基础设施造成了严重破坏，导致美国各地的主要网站瘫痪。这是一个警钟，揭示了被恶意软件感染的僵尸大军可能造成的真正损害。现在，佐治亚理工学院的研究人员正在考虑更远的地方，关于僵尸网络有朝一日可能会如何扰乱那些不太可能的目标-比如能源市场。

在周三的黑帽安全会议上，研究人员将展示他们的发现，从理论上说，高瓦物联网僵尸网络-由空调、汽车充电器和智能恒温器等高耗电设备组成的僵尸网络-可以战略性地部署，以在美国九个私人能源市场中的任何一个市场增加特定时间的需求。他们说，一个精明的攻击者将能够悄悄地迫使价格波动，为利润服务，为混乱服务，或者两者兼而有之。

研究人员使用了2018年5月至2019年5月期间纽约和加州市场的真实公开数据，研究了预测需求的前一天市场和实时市场的波动，在实时市场中，买家和卖家会修正预测错误和自然灾害等不可预测的事件。通过对各种假设的高瓦物联网僵尸网络可以吸引多少电力进行建模，并分析市场数据，研究人员设计出了两种类型的潜在攻击，它们将改变能源定价。他们还计算出，在不引发恶意活动的情况下，黑客能够将攻击推进到什么程度。

佐治亚理工学院博士生托希德·谢卡里(Tohid Shekari)与博士生席琳·欧文(Celine Irvine)和拉希姆·贝亚(Raheem Beyah)一起参与了这项研究，他说，我们的基本假设是，我们可以接入一个高瓦数的物联网僵尸网络。在我们的场景中，攻击者1是一个市场参与者，他基本上是在试图最大化自己的利润。攻击者2是一个民族国家行为者，作为贸易战或冷战的一部分，他可能会给市场参与者造成经济损害。这两种攻击的基本部分都是考虑价格负载敏感度。如果我们将需求改变1%，那么价格会因此而改变多少呢？你想要优化攻击，以最大限度地增加收益或造成最大损失。"；

攻击者可以利用她的僵尸网络的力量来增加需求，例如，当其他实体押注需求会很低的时候。或者，她可以打赌，需求会在某个时候上升，她肯定能做到这一点。

与普通的物联网僵尸网络不同，普通的物联网僵尸网络无处不在，可以在犯罪论坛上租用，而高瓦数的僵尸网络不太实用。据了解，目前还没有一款可供潜在袭击者租用。但在过去的几年里，研究人员已经开始调查它们是如何被武器化的-其中一个例子是大规模停电的可能性-因为他们预计有一天会出现这样的僵尸网络。

与此同时，总的来说，能源市场操纵的想法并不牵强。2018年，美国联邦能源监管委员会(Federal Energy Regulatory Commission)调查了16起潜在的市场操纵案件，尽管它没有采取任何行动就了结了其中的14起。此外，5月中旬，攻击者侵入了Elexon的IT系统，Elexon是用来运行英国能源市场的平台。这次袭击似乎没有导致市场变化。

研究人员警告说，根据他们的分析，需求波动比你可能预期的要小得多，可能会影响定价，而且只需5万台受感染的设备就能发动一次有影响力的攻击。相比之下，目前许多犯罪物联网僵尸网络包含数百万个机器人。其设备在不知不觉中被征召到高瓦数僵尸网络中的消费者也不太可能注意到任何问题；攻击者可能会在深夜或人们可能走出家门时故意打开设备来拉电。这个想法是为了最大限度地利用战略时刻，既利用市场状况，又有助于保持低调。研究人员计算出，市场操纵运动最多会导致消费者家庭电费增加7%，很可能低到不被人注意到的程度。

对于黑客来说，回报可能是巨大的。研究人员计算出，通过每天进行三个小时的攻击，每年100天，市场操纵者每年可以带回家多达2400万美元。而一名坚定的破坏者可能会使用同样类型的袭击，每年造成高达3.5亿美元的经济损失。

然而，很难知道这样的攻击在实践中会如何进行。例如，研究人员假设在给定地区一次只有一个攻击者试图发起僵尸网络驱动的市场操纵活动。多个演员在同一地点尝试同样的骗局可能会降低他们的回报，或者使他们更有可能被抓到。这项研究还假设存在高瓦数的物联网僵尸网络，并假设它们将是一致和可预测的平台。

尽管如此，这类攻击相对容易构思和建模的事实表明，它们可能会疯狂到有一天会奏效。研究人员强调，他们的目标是在这种情况发生之前促进预防和防御。他们建议，高瓦数的物联网设备应该包括某种类型的实时监控，可以标记可能与恶意软件感染相一致的可疑使用。他们建议能源市场重新审视他们需要公开发布多少粒度和不断更新的负荷数据。限制访问权限不会使攻击者无法获得数据，但会增加进入障碍。

贝亚说，这是威胁格局如何以意想不到的方式发生变化的一个例子，他也是工业控制安全公司Fortiphyd Logic的联合创始人。谁会想到我的洗衣机或固定自行车会成为一种全新类型的攻击的基础呢？

🎙️收听“连线”，这是我们关于未来如何实现的新播客。收看最新剧集，订阅📩时事通讯，跟上我们所有节目的最新动态。

🏃🏽‍♀️想要最好的健康工具吗？看看我们Gear团队挑选的最好的健身跟踪器、跑步装备(包括鞋子和袜子)和最好的耳机