什么是 Sandworm

Sandworm（沙蟲）黑客組織有多個名稱，還曾被命名為BlackEnergy、TeleBots、Electrum、TEMP.Noble和Quedagh，自2007年開始活躍。2014年，因使用Windows的0day漏洞（CVE-2014-4114）攻擊政府組織機構而聲名狼藉。2015年，通過BlackEnergy惡意軟件攻擊烏克蘭電網，導致大面積停電。

2018年10月18日，ESET研究團隊稱發現一個新的APT組織GreyEnergy，且該APT組織是BlackEnergy的繼承者。BlackEnergy因2015年引發的烏克蘭停電事件而被大家熟知，此后便銷聲匿跡，同時GreyEnergy的活動記錄顯現。另外，2015年同期還出現了另一個組織TeleBots。

ESET研究團隊認為BlackEnergy演變為兩個獨立的組織：TeleBots和GreyEnergy。其中GreyEnergy主要針對烏克蘭和波蘭的能源部門、交通部門等高價值目標，攻擊行為主要是網絡偵察（即間諜行為）。GreyEnergy與BlackEnergy具有很多相似之處，它也是采用模塊化結構，目前已經發現的模塊有：注入模塊、獲取系統信息模塊、文件管理模塊、屏幕截圖模塊、鍵盤記錄模塊、密碼和憑證竊取模塊、代理模塊、ssh隧道模塊等，但是至今仍未發現專門針對工業控制系統的惡意軟件模塊。