Iranski hakeri postavljaju zlonamjerni softver IOCONTROL za ciljanje IoT i OT uređaja u SAD-u i Izraelu

Ozloglašena iranska hakerska skupina, CyberAv3ngers, povezana je s nizom kibernetičkih napada usmjerenih na IoT (Internet of Things) i OT (Operational Technology) uređaje u Sjedinjenim Državama i Izraelu. Prilagođeno izrađen zlonamjerni softver koji stoji iza ovih napada, nazvan IOCONTROL, dizajniran je za infiltraciju u kritičnu infrastrukturu, podižući uzbunu među stručnjacima za kibernetičku sigurnost i vladama.

Državno sponzorirane prijetnje kritičnoj infrastrukturi

CyberAv3ngers, koji tvrdi da je haktivistička skupina, povezan je s iranskom Islamskom revolucionarnom gardom (IRGC). Grupa je prethodno ciljala na industrijske upravljačke sustave (ICS) u objektima za vodu u Irskoj i Sjedinjenim Državama, uzrokujući značajne poremećaje. Na primjer, u jednom napadu 2023. na vodoopskrbno poduzeće u Pennsylvaniji, hakeri su iskoristili loše osiguran ICS, što je dovelo do dva dana prekida opskrbe vodom.

Zabrinjavajući aspekt ovih napada je njihovo oslanjanje na osnovne ranjivosti. Mnogi ICS i OT uređaji ostaju izloženi internetu sa zadanim lozinkama, što ih čini lakim metama za napadače bez potrebe za naprednim tehnikama hakiranja. Ove praznine u sigurnosti naglašavaju stalne rizike koje donosi slaba zaštita infrastrukture.

Kako radi zlonamjerni softver IOCONTROL

Prema istraživačima iz Clarotyja, IOCONTROL je kibernetičko oružje posebno dizajnirano za ciljanje ugrađenih uređaja temeljenih na Linuxu u IoT i OT okruženjima. Zlonamjerni softver je svestran i može se prilagoditi različitim uređajima, uključujući:

• IP kamere
• Usmjerivači
• SCADA sustavi
• PLC (programabilni logički kontroleri)
• HMI (sučelja čovjek-stroj)
• Vatrozidi

Među poznatim dobavljačima koji su pogođeni su Baicells, D-Link, Hikvision, Phoenix Contact, Teltonika i Unitronics. Ovo široko ciljanje sugerira da zlonamjerni softver može iskoristiti više vrsta uređaja sastavnih dijelova industrijskih i operativnih mreža.

IOCONTROL komunicira sa svojim operaterima putem MQTT protokola, laganog komunikacijskog standarda stroj-stroj. To napadačima omogućuje izvršavanje proizvoljnog koda, skeniranje portova i bočno širenje zlonamjernog softvera po mrežama, stječući dublju kontrolu nad ugroženim sustavima.

Nedavni napadi visokog profila

Jedna od najalarmantnijih kampanja dogodila se u listopadu 2023., kada je CyberAv3ngers tvrdio da je pokvario 200 benzinskih pumpi u Izraelu. U napadu su iskorišteni uređaji povezani s Orpak Systems, tvrtkom koja pruža rješenja za upravljanje benzinskim postajama.

Clarotyjeva analiza IOCONTROL-a otkrila je uzorak dobiven iz Gasboy sustava za kontrolu goriva—usko povezanog s Orpakom—što ukazuje da je grupa potencijalno ponovno pokrenula svoju kampanju sredinom 2024. Unatoč istragama koje su u tijeku, ostaje nejasno kako je malware prvotno distribuiran.

Šire implikacije

Napadi koji se pripisuju IOCONTROL-u naglašavaju sve veći fokus na civilnu kritičnu infrastrukturu kao metu kibernetičkih kampanja koje sponzorira država. Iskorištavanjem IoT i OT ranjivosti, skupine poput CyberAv3ngers mogu uzrokovati široko rasprostranjene poremećaje, od prekida opskrbe vodom do zaustavljanja distribucije goriva. Ove radnje ne predstavljaju samo rizike za javnu sigurnost, već stvaraju i geopolitičke napetosti.

Kao odgovor, američka vlada ponudila je nagradu do 10 milijuna dolara za informacije koje bi dovele do identifikacije ili uhićenja pojedinaca povezanih s CyberAv3ngers. To naglašava ozbiljnost ovih cyber prijetnji i hitnu potrebu za jačom obranom protiv njih.

Zaštita od IOCONTROL-a i sličnih prijetnji

Organizacije koje upravljaju IoT i OT uređajima trebaju poduzeti sljedeće korake za smanjenje rizika:

1. Promjena zadanih vjerodajnica: mnogi napadi uspijevaju zbog slabih, tvornički zadanih lozinki. Odmah primijenite politike jakih lozinki.
2. Segmentacija mreže: Izolirajte ICS i OT uređaje od mreža okrenutih prema internetu kako biste ograničili potencijalne pristupne točke za napadače.
3. Redovita ažuriranja i zakrpe: Pobrinite se da svi uređaji imaju najnovija ažuriranja firmvera i sigurnosti.
4. Pratite anomalije: Postavite sustave za otkrivanje upada kako biste identificirali neuobičajene aktivnosti, poput skeniranja portova ili pokušaja neovlaštenog pristupa.
5. Ograniči udaljeni pristup: Ograničite pristup ICS i OT uređajima, dopuštajući veze samo s pouzdanih IP adresa.

Završne riječi

Kampanja zlonamjernog softvera IOCONTROL snažan je podsjetnik na ranjivosti svojstvene IoT i OT sustavima. Dok skupine koje sponzorira država poput CyberAv3ngers sve više ciljaju na kritičnu infrastrukturu, organizacije moraju usvojiti proaktivne mjere kibernetičke sigurnosti za obranu od ovih rastućih prijetnji. Osiguravanjem svojih mreža mogu spriječiti napade koji bi mogli imati razorne učinke na javnu sigurnost i osnovne usluge.