Íránští hackeři nasadili malware IOCONTROL k zacílení IoT a OT zařízení v USA a Izraeli

Notoricky známá íránská hackerská skupina CyberAv3ngers byla spojena se sérií kybernetických útoků zaměřených na zařízení IoT (Internet of Things) a OT (Operational Technology) ve Spojených státech a Izraeli. Na míru vytvořený malware stojící za těmito útoky, nazvaný IOCONTROL, je navržen tak, aby infiltroval kritickou infrastrukturu a vyvolal poplach mezi odborníky na kybernetickou bezpečnost i vládami.

Státem sponzorované hrozby pro kritickou infrastrukturu

CyberAv3ngers, která se prohlašuje za hacktivistickou skupinu, je napojena na íránské islámské revoluční gardy (IRGC). Skupina se již dříve zaměřila na průmyslové řídicí systémy (ICS) ve vodních zařízeních v Irsku a Spojených státech, což způsobilo značné narušení. Například při jednom útoku na vodohospodář v Pensylvánii v roce 2023 hackeři zneužili špatně zabezpečené ICS, což vedlo k dvoudennímu výpadku dodávek vody.

Znepokojivým aspektem těchto útoků je jejich spoléhání se na základní zranitelnosti. Mnoho ICS a OT zařízení je vystaveno internetu s výchozími hesly, což z nich činí snadný cíl pro útočníky, aniž by potřebovaly pokročilé hackerské techniky. Tyto mezery v zabezpečení zdůrazňují přetrvávající rizika, která představuje slabá ochrana infrastruktury.

Jak funguje malware IOCONTROL

Podle výzkumníků z Claroty je IOCONTROL kybernetická zbraň speciálně navržená tak, aby se zaměřovala na vestavěná zařízení založená na Linuxu v prostředí IoT a OT. Malware je všestranný a lze jej přizpůsobit pro různá zařízení, včetně:

• IP kamery
• Směrovače
• SCADA systémy
• PLC (programovatelné logické řadiče)
• HMI (Human-Machine Interface)
• Firewally

Mezi významné dotčené dodavatele patří mimo jiné Baicells, D-Link, Hikvision, Phoenix Contact, Teltonika a Unitronics. Toto široké zacílení naznačuje, že malware může zneužít více typů zařízení integrovaných do průmyslových a provozních sítí.

IOCONTROL komunikuje se svými operátory prostřednictvím protokolu MQTT, lehkého komunikačního standardu mezi stroji. To umožňuje útočníkům spouštět libovolný kód, provádět skenování portů a šířit malware po sítích a získat tak hlubší kontrolu nad napadenými systémy.

Nedávné útoky s vysokým profilem

Jedna z nejvíce alarmujících kampaní se odehrála v říjnu 2023, kdy CyberAv3ngers tvrdili, že narušili 200 čerpacích stanic v Izraeli. Útok zneužil zařízení napojená na Orpak Systems, společnost poskytující řešení pro správu čerpacích stanic.

Clarotyho analýza IOCONTROL odhalila vzorek získaný ze systému řízení paliva Gasboy – úzce propojeného s Orpakem – což naznačuje, že skupina potenciálně znovu zahájila svou kampaň v polovině roku 2024. Navzdory probíhajícím vyšetřováním zůstává nejasné, jak byl malware původně distribuován.

Širší důsledky

Útoky připisované IOCONTROL zdůrazňují rostoucí zaměření na civilní kritickou infrastrukturu jako cíl státem sponzorovaných kybernetických kampaní. Využitím zranitelností internetu věcí a OT mohou skupiny jako CyberAv3ngers způsobit rozsáhlé narušení, od přerušení dodávek vody až po zastavení distribuce paliva. Tyto akce nejenže představují riziko pro veřejnou bezpečnost, ale vytvářejí také geopolitické napětí.

V reakci na to americká vláda nabídla odměnu až 10 milionů dolarů za informace vedoucí k identifikaci nebo zatčení osob spojených s CyberAv3ngers. To podtrhuje závažnost těchto kybernetických hrozeb a naléhavou potřebu silnější obrany proti nim.

Ochrana proti IOCONTROL a podobným hrozbám

Organizace spravující zařízení IoT a OT by měly ke zmírnění rizik podniknout následující kroky:

1. Změna výchozích přihlašovacích údajů: Mnoho útoků je úspěšných kvůli slabým heslům z výroby. Okamžitě implementujte zásady silných hesel.
2. Segmentace sítě: Izolujte zařízení ICS a OT od sítí připojených k internetu, abyste omezili potenciální přístupové body pro útočníky.
3. Pravidelné aktualizace a opravy: Ujistěte se, že všechna zařízení používají nejnovější aktualizace firmwaru a zabezpečení.
4. Monitorování anomálií: Nasaďte systémy detekce narušení k identifikaci neobvyklé aktivity, jako je skenování portů nebo pokusy o neoprávněný přístup.
5. Omezit vzdálený přístup: Omezte přístup k zařízením ICS a OT, povolte připojení pouze z důvěryhodných IP adres.

Závěrečná slova

Malwarová kampaň IOCONTROL je jasnou připomínkou zranitelnosti systémů IoT a OT. Vzhledem k tomu, že státem sponzorované skupiny, jako jsou CyberAv3ngers, se stále více zaměřují na kritickou infrastrukturu, musí organizace přijmout proaktivní opatření v oblasti kybernetické bezpečnosti, aby se těmto vyvíjejícím se hrozbám bránily. Zabezpečením svých sítí mohou zabránit útokům, které by mohly mít ničivé dopady na veřejnou bezpečnost a základní služby.