El nuevo ataque malvado de PLC convierte a los PLC en armas para violar las redes empresariales y de OT
Se elaboraron técnicas por parte de los investigadores de ciberseguridad, las cuales convierten en armas a los controladores lógicos programables (PLC) con el objetivo de ganar un punto de apoyo inicial en las estaciones de trabajo de ingeniería y, posteriormente, invadir las redes de tecnología operativa (OT).
Se lo conoce como el ataque “Evil PLC” de la empresa Claroty (empresa de seguridad industrial). El mencionado software afecta a las estaciones de trabajo de ingeniería de Rockwell Automation, Schneider Electric, GE, B&R, Xinje, OVARRO y Emerson.
Estos PLC son un componente importante de los dispositivos industriales los cuales controlan los procesos de fabricación en sectores de infraestructura crítica. Los PLC, además de orquestar las tareas de automatización, también están configurados para iniciar y detener procesos y generar alarmas.
Por lo tanto, no sorprende que el acceso arraigado proporcionado por los PLC haya convertido a las máquinas en el foco de ataques sofisticados durante más de una década, desde Stuxnet hasta PIPEDREAM (también conocido como INCONTROLLER), con el objetivo de causar interrupciones físicas.
“Estas aplicaciones de estaciones de trabajo suelen ser un puente entre las redes de tecnología operativa y las redes corporativas”, dijo Claroty . “Un atacante que pueda comprometer y explotar vulnerabilidades en una estación de trabajo de ingeniería podría pasar fácilmente a la red interna, moverse lateralmente entre sistemas y obtener más acceso a otros PLC y sistemas sensibles”.
Gracias al Evil PLC, el controlador actúa como un medio para un fin, quiere decir que el actor de amenaza puede acceder a una estación de trabajo, acceda a todos los demás PLC en la red e incluso altere la lógica del controlador.
Los investigadores dijeron, de otra manera “usar el PLC como un punto de pivote para atacar a los ingenieros que lo programan y diagnostican y obtener un acceso más profundo a la red OT”,
Todo esta desarrollado de la siguiente manera; cierto usuario induce deliberadamente un mal funcionamiento en un PLC expuesto a Internet, una acción que incita a un ingeniero desprevenido a conectarse al PLC infectado utilizando el software de la estación de trabajo de ingeniería como herramienta de solución de problemas.
Posteriormente, el actor de amenaza aprovecha las amenazas que no han sido descubiertas que fueron identificadas en las plataformas con el objetivo de ejecutar código malicioso en la estación de trabajo cuando el ingeniero realiza una operación de carga para recuperar una copia funcional de la lógica del PLC existente.
“El hecho de que el PLC almacene tipos adicionales de datos que utiliza el software de ingeniería y no el propio PLC” crea un escenario en el que los datos no utilizados almacenados en el PLC pueden modificarse para manipular el software de ingeniería, señalaron los investigadores.
“En la mayoría de los casos, las vulnerabilidades existen porque el software confiaba plenamente en los datos provenientes del PLC sin realizar controles de seguridad exhaustivos”.
Este método Evil PLC también puede ser utilizado como trampas para atraer actores de amenazas y de esta manera se conectan a un PLC señuelo, esto llevaría a un compromiso de la máquina del atacante.
También se señaló la ausencia de protecciones de seguridad en los dispositivos ICS (control industrial) el cual está orientado público, lo que facilita que los actores de amenazas alteren su lógica a través de procedimientos de descarga no autorizados.
Mitigación
Para poder mitigar dichos ataques, es recomendable limitar el acceso físico y de red de los PLC a aquellos ingenieros y operadores que no están autorizados, también se debe hacer cumplir los mecanismos de autenticación para validar la estación de ingeniería, por otra parte, debe monitorizarse el trafico de la red OT en busca de actividad anómala y aplicar parches de manera oportuna.
