Ataque Remoto al Estilo Stuxnet Posible con Malware PLC Basado en la Web
Investigadores del Instituto de Tecnología de Georgia mostraron que los PLC modernos con servidor web pueden recibir malware que corre en el navegador del operador. Su prototipo, IronSpider, saboteó un motor en un PLC de Wago mientras la pantalla HMI mostraba valores normales.
Un equipo del Instituto de Tecnología de Georgia publicó una investigación que demuestra que un ataque con efectos parecidos a los de Stuxnet ya no necesita acceso privilegiado a la red industrial. El objetivo son los controladores lógicos programables (PLC) modernos que traen un servidor web y se administran desde un navegador, una configuración cada vez más común en sistemas de control industrial (ICS). El riesgo alcanza a fabricantes como Wago, Siemens, Emerson, Schneider Electric, Mitsubishi Electric y Allen Bradley.
Del firmware y la lógica de control al navegador
Hasta ahora, comprometer un PLC significaba elegir entre dos caminos. El malware de firmware da mucho control y se detecta con dificultad, pero cuesta implantarlo. El de lógica de control es más simple de desplegar y también más fácil de descubrir. En ambos casos el atacante necesita estar dentro de la red industrial.
Los PLC con interfaz web cambian ese cálculo. Si el navegador hace de interfaz hombre-máquina (HMI) y el equipo expone API para configurarlo, controlarlo y monitorearlo, el código malicioso puede vivir en la memoria del controlador y ejecutarse del lado del cliente, en cualquier equipo con navegador del entorno ICS. Desde ahí usa las API legítimas del propio PLC.
La infección inicial puede hacerse con acceso físico o de red a la HMI, pero también por Internet, secuestrando la HMI a través de vulnerabilidades de origen cruzado.
Persistencia con service workers y borrado de huellas
Para quedarse, el malware registra service workers: código JavaScript que se aloja en la caché del navegador y se ejecuta con independencia de la página que lo instaló, y que sigue activo hasta 24 horas después de que el archivo desaparece del servidor. Según los investigadores, esto le permite sobrevivir a actualizaciones de firmware, a nuevas HMI e incluso a un cambio de hardware.
Lo que puede hacer depende de cuán potentes sean las API web del PLC, y algunas lo son mucho: sobrescribir entradas y salidas, abusar de las entradas de la HMI, cambiar puntos de ajuste y parámetros de seguridad, falsear lo que muestra la pantalla, modificar la configuración de administrador y exfiltrar datos en tiempo real. Puede mantener comando y control aunque el PLC esté en una red aislada. Al terminar, se autodestruye: reemplaza la carga maliciosa por una benigna, anula el registro de los service workers y hasta puede restablecer el equipo de fábrica.
IronSpider contra Wago
La prueba de concepto se llama IronSpider. En el escenario simulado, explotaba vulnerabilidades hasta entonces desconocidas en PLC de Wago y se instalaba cuando el operador miraba un banner publicitario preparado para eso. El malware dañaba un motor industrial y al mismo tiempo mostraba valores normales en la HMI. Uno de los autores, Ryan Pickren, ya había descrito parte de esas vulnerabilidades de Wago.
La comparación con Stuxnet es de los propios autores. Ese malware destruyó más de 1.000 centrifugadoras iraníes y redujo un 30% la capacidad de la instalación, pero llegó a los PLC a través de estaciones de ingeniería comprometidas. «IronSpider, sin embargo, utilizó malware basado en la web que desplegó utilizando un sitio web malicioso sin necesidad de comprometer ningún sistema periférico», escribieron. En los otros fabricantes, el ataque requiere explotar vulnerabilidades nuevas o conocidas y, en algunos casos, contraseñas FTP, protocolos inseguros o un insider. El equipo también publicó un marco independiente del proveedor para construir y analizar este tipo de malware.
Por qué importa y qué hacer
La lección es que la interfaz web de un PLC es una aplicación web más, con los mismos problemas de origen cruzado, caché y sesiones, pero conectada a motores y válvulas. Para plantas industriales, mineras, sanitarias o eléctricas, eso significa que cualquier estación de operación que navegue por Internet se vuelve un posible vector hacia el proceso físico. La segmentación tradicional ayuda, pero no basta si el navegador del operador puede ver contenido externo y la HMI a la vez.
- Separa los equipos que abren la HMI web de cualquier navegación general por Internet, incluidos banners y publicidad.
- Revisa en los navegadores de las estaciones HMI los service workers registrados y elimina los que no reconozcas.
- Deshabilita el servidor web y las API del PLC si no se usan, y cambia contraseñas FTP por defecto o protocolos inseguros.
- Aplica las actualizaciones de firmware de Wago y del resto de tus proveedores para cerrar las vulnerabilidades web publicadas.
- Contrasta los valores de la HMI con mediciones independientes del proceso para detectar pantallas falseadas.
Relacionado:
Atacantes calientan refrigeradores de supermercados franceses hasta 50°C
Objetivos nucleares y navales en Filipinas atacados por operador chino
Trump apunta a la tecnología extranjera en la red eléctrica de EE. UU.
Nota elaborada por Ciberseguridad en español a partir de información publicada por Security Week. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.
Comentarios
Publicar un comentario