Ataque de segurança ICS habilita o controle remoto de edifícios

Você pode “[m] controlar toda a sua planta central a partir de um controlador."

Essa ostentação de marketing refere-se às capacidades do sistema de controle enteliBUS da Delta Controls.

Também ilustra por que a conveniência, assim como a complexidade, foi considerada inimiga da segurança.

A facilidade de uso que os sistemas industriais conectados oferecem também podem torná-los um ponto único de falha em um ataque cibernético, potencialmente dando a um adversário o controle sobre os ativos industriais e de construção. Por exemplo, um hacker visando tal sistema poderia desmontar o aquecimento ou resfriamento de um sistema HVAC durante um evento climático extremo. Esse tipo de exploração de segurança do ICS também pode fazer com que a temperatura aumente em uma instalação de manufatura ou em um data center. Iluminação em rede e sistemas de controle de acesso também seriam um jogo justo. Como o gerenciador enteliBUS e outros produtos semelhantes são controladores BACnet programáveis, os alvos potenciais de tais sistemas podem incluir virtualmente qualquer empresa ou ambiente industrial dentro de um edifício. Uma postagem no blog da McAfee também aponta que esses sistemas BACnet são usados ​​para controlar a sala de pressão positiva dentro de um hospital. Esta sala é responsável por impedir que contaminantes entrem nas salas de operação.

No palco do McAfee MPOWER, Doug McKee, pesquisador de segurança sênior da empresa, mostrou o potencial de um exploit de dia zero visando o sistema enteliBUS em uma demonstração ao vivo. “Uma das coisas que fomos capazes de fazer foi explorar essa vulnerabilidade 100% remotamente”, disse McKee.

[ Industrial IoT World é o evento onde as empresas aprendem como dimensionar a IIoT para integração, inovação e lucro. Economize $ 200 em seu passe de conferência com o código VIP “ IOTWORLDTODAY . ”]

Demonstrando o dano

Em uma demonstração no palco, McKee demonstrou como é fácil explorar a vulnerabilidade CVE-2019-9569, para a qual um patch está disponível. Com um data center simulado que foi montado para o evento, McKee disse que um invasor usando o exploit poderia controlar bombas, válvulas e ventiladores em rede no sistema HVAC do data center imaginário.

Um resumo que descreve a vulnerabilidade de segurança do ICS no National Vulnerability Database também indica que ele também pode permitir que um hacker cause um ataque de negação de serviço. O problema subjacente que tornou o ataque possível relacionado a uma inconsistência no gerenciamento do tráfego de rede criou um estouro de buffer, um tipo de vulnerabilidade que o governo dos EUA documentou em um estudo de planejamento de tecnologia de segurança de computador de 1972. De acordo com a Wikipedia, o primeiro caso documentado de um ataque de estouro de buffer ocorrendo na selva foi em 1988.

Na apresentação de palco no McAfee MPOWER, McKee mostrou como o malware desenvolvido para explorar a vulnerabilidade permitiu que ele alternasse os controles HVAC e um alarme ligado e desligado por meio de um shell reverso. Um alarme conectado a tal sistema pode ser vinculado a um sistema de gerenciamento de informações e eventos de segurança ou enviar um alerta para um gerente de instalações por meio de um SMS ou mensagem de e-mail. “Com apenas alguns toques no teclado, posso ir em frente e ligar o alarme”, disse McKee. Dirigindo-se a McKee no palco, Steve Grobman, diretor de tecnologia da McAfee, disse:“Conhecendo seu senso de humor, você provavelmente estaria sentado no estacionamento e, quando a pessoa responsável pela [instalação do data center] entrar, você provavelmente desligue o alarme. ”

Mas os hackers podem realizar ataques mais astutos que realizam mais do que apenas irritar os funcionários de manutenção e gerenciamento de instalações. Por exemplo, para um data center refrigerado a líquido ou qualquer instalação com uma sala de caldeira ou um sistema HVAC refrigerado a água, um invasor pode desligar as bombas em rede à vontade. “Meu HVAC em casa não usa bombas d'água, mas os sistemas industriais usam. E eles estão fornecendo resfriamento crítico para componentes de missão crítica ”, disse Grobman.

Após a demonstração da bomba, McKee desligou o amortecedor do sistema HVAC para bloquear o fluxo de ar, seguido pelo desligamento de uma válvula.

A vulnerabilidade também permite que um invasor manipule dados, alterando as leituras de temperatura ou outras variáveis.

Ação à distância

Como o ataque de segurança do ICS pode ser explorado pela Internet, um adversário poderia essencialmente realizar tal exploração em qualquer lugar. De acordo com uma postagem do blog da McAfee, 1.600 dispositivos enteliBUS Manager foram exibidos em uma pesquisa de agosto no mecanismo de pesquisa IoT Shodan.io. Uma pesquisa por “eBMGR” em 4 de outubro revelou quase 500 desses dispositivos, com a maior parte deles na América do Norte. Shodan sinalizou uma parte desses dispositivos, no entanto, como honeypots. Vários dispositivos eBMGR exibidos no Shodan tinham a versão 3.40.571848 do firmware instalada, que era a versão vulnerável que a McAfee explorou em seus laboratórios. Provavelmente, dispositivos que usam firmware anterior também correm risco.

A McAfee compartilhou pela primeira vez sua pesquisa sobre os dispositivos eBMGR com a Delta Controls em 7 de dezembro de 2018. A Delta Controls respondeu à divulgação da vulnerabilidade da McAfee em questão de semanas e, como mencionado antes, lançou um patch para resolver esse exploit. “Assim que o patch estava pronto para uso, eles o enviaram de volta para nós, e eu pessoalmente verifiquei que ele corrige 100% essa vulnerabilidade”, disse McKee.