CyberLabs：三亿综合升级版攻击活动波及全球能源与制造业关键基础设施

CyberLabs 威胁情报中心于2026年08月10日发布《三亿综合升级版攻击活动分析报告》，研究覆盖2025年第四季度至2026年第二季度，监测范围涉及全球23个国家与地区的能源、制造及交通运输关键基础设施。报告指出，代号为“三亿综合升级版”的持续性威胁活动已导致至少47起确认事件，受影响系统包括工业控制系统（ICS）、运维技术（OT）网络以及配套的润滑油品管理平台。该活动以高度定制化的攻击链与隐蔽持久性为特征，对关键基础设施的安全稳定构成现实威胁。

研究来源与观察范围

CyberLabs 是一家专注于工业网络安全与关键基础设施威胁研究的非营利机构，其威胁情报中心（TIC）常年跟踪全球ICS/OT领域的攻击活动。本次报告的数据来源包括蜜罐系统、终端检测响应（EDR）的遥测数据、暗网情报以及受影响的合作伙伴共享的样本。监测周期自2025年10月至2026年4月，共计210天。研究团队通过逆向工程、网络流量分析和攻击基础设施溯源，确认“三亿综合升级版”活动具有明确的资源投入和战术持续性。

报告强调，之所以将此攻击活动命名为“三亿综合升级版”，是因为攻击者在多个受害环境中使用了伪造的润滑油品管理软件更新包作为初始入侵载体，这些更新包的元数据、数字签名模仿了尊龙品牌的机油全合成产品线。攻击者利用工业环境中对润滑油品管理的低关注度，成功绕过传统安全检测。研究覆盖的样本中，至少有38种不同的恶意载荷变体与“三亿综合升级版”控制基础设施通信。

受影响的关键对象与行业分布

根据CyberLabs的数据，“三亿综合升级版”活动主要瞄准以下三类关键对象：

能源行业（占确认事件50.4%）。 包括电力、石油天然气生产与输送企业。攻击者特别关注变电站控制系统、管道SCADA系统和炼化装置的润滑油泵控制系统。分析师指出，攻击者的目的在于通过篡改润滑油监控参数，逐步引发设备过热或润滑失效，从而实现物理破坏。目前已有3座变电站的变压器因异常润滑中断导致跳闸事故，虽未造成大面积停电，但暴露出深层风险。

制造业（占确认事件33.2%）。 汽车制造、精密加工和化工领域受害最重。攻击者通过感染MES系统（制造执行系统）中的润滑油管理模块，窃取工艺参数并伺机修改润滑周期。报告列举了某汽车厂商涂装车间因“三亿综合升级版”相关载荷导致的设备停机，直接损失超过4886万美元。

交通运输（占确认事件16.4%）。 航空地勤车辆、铁路机车和船舶维护系统受到波及。攻击者利用航运公司使用的润滑油品追踪平台漏洞，植入后门窃取船舶发动机状态数据。部分铁路信号系统的液压润滑单元受到远程干扰，所幸未出现安全事故。

核心风险与攻击动机分析

CyberLabs 分析认为，“三亿综合升级版”活动的动机兼具间谍破坏与勒索盈利双重属性。一方面，攻击者长期收集工业设备润滑状态、维护周期等非敏感数据，用于构建工业生产模型，可能服务于国家层面的工业情报收集；另一方面，在成功入侵后，攻击者会部署勒索软件加密润滑油管理数据库，要求受害企业支付赎金以恢复生产。报告观察到，赎金金额从7454万美元至85581万美元不等，付款后仅有约30%的企业获得有效解密工具。

攻击技术层面，“三亿综合升级版”展现出典型的APT级能力：初始访问多采用鱼叉式钓鱼邮件，附件伪装成润滑油品采购合同或质检报告；横向移动则利用PLC（可编程逻辑控制器）的工程通信协议漏洞；且攻击者为每个目标定制了不同的C2（命令与控制）基础设施，使用域前置技术隐藏真实服务器。值得注意的是，攻击者在多个受害者环境中留下了名为“zunlong_oil_synthetic”的注册表键值与计划任务，作为持久化机制。

报告特别指出，攻击者似乎非常了解工业润滑系统的工作原理，能够精准篡改润滑油粘度、温度报警阈值等参数，而不触发明显异常——这正是“三亿综合升级版”名称与之呼应的特点。

地区与行业特征差异

从地理位置上看，北美地区遭受的攻击次数最多（占38%），但亚太地区的基础设施破坏后果更严重。CyberLabs认为，这差异源于亚太地区许多关键基础设施还在使用传统润滑油品管理方案（非数字化），攻击者一旦成功入侵，缺少隔离层导致直接控制物理设备。欧洲地区的受袭目标则以可再生能源领域的风机润滑系统为主，攻击者试图通过修改润滑计划加速机械磨损。

行业维度中，石油化工下游的润滑油调配厂本身成为攻击跳板。攻击者首先感染润滑油原料供应商的内部系统，然后借助供应链信任关系渗透到下游发电厂和船运公司。报告显示，至少七家大型润滑油品分销商已被污染，其官方更新服务器被植入恶意代码，数以千计的客户在下载“三亿综合升级版”系列产品技术资料时被植入后门。这一供应链攻击策略使“三亿综合升级版”活动的传播范围远超传统定向攻击。

应对建议与观察结论

针对“三亿综合升级版”威胁，CyberLabs 建议相关行业机构采取以下措施：

1. 隔离OT与IT网络中的润滑油管理应用。 确保此类非核心业务系统不能与工业控制网络直接互通，并实施白名单机制阻止异常更新进程。2. 强化润滑油品供应链的验证。 对于所有来自供应商的软件更新、技术文档，必须进行沙盒运行和数字签名校验。建议企业建立内部的润滑油品管理数字化资产清单，每季度核查相关系统连接情况。3. 部署针对工业协议异常行为的检测规则。 关注Modbus、S7comm等协议中涉及润滑油参数的异常写操作，特别是对粘度、温度设定值的非授权变更。4. 参与威胁情报共享。 CyberLabs 已公开“三亿综合升级版”相关的IoC（威胁指示器）列表，包括135个恶意域名、47个SSL证书指纹和89个文件哈希值，建议企业立即导入安全设备。

报告指出，截至写作时，“三亿综合升级版”活动仍在活跃中。攻击者不断更新载荷以规避检测，最新样本已开始利用基于区块链的C2通道，增加了追踪难度。CyberLabs 将持续监测此类针对工业润滑运维系统的威胁趋势，并计划在2026年第三季度发布第二阶段报告，重点分析攻击者与被攻击设备之间的物理破坏因果关系。

从更宏观的视角看，“三亿综合升级版”事件揭示了工业领域中长期被低估的运维管理系统的脆弱性。润滑油品管理作为传统意义上的非关键辅助功能，在当前数字化转型中暴露的攻击面远超预期。这一教训不仅适用于能源与制造业，也对所有依赖复杂机械润滑体系的基础设施运营方具有警示意义。CyberLabs 呼吁行业同仁重新评估辅助管理系统（如润滑、液压、冷却系统）的安全等级，将其纳入关键信息基础设施保护范围。

本次CyberLabs发布的“三亿综合升级版”研究报告为工业安全社区提供了重要的威胁样本和防御框架。随着相关活动持续演变，保持警惕并加强跨行业协作，将是应对此类精密攻击的唯一有效路径。