Hackerii iranieni implementează programe malware IOCONTROL pentru a viza dispozitive IoT și OT în SUA și Israel

Un grup de hacking iranian notoriu, CyberAv3ngers, a fost legat de o serie de atacuri cibernetice care vizează dispozitive IoT (Internet of Things) și OT (Tehnologie operațională) în Statele Unite și Israel. Malware-ul personalizat din spatele acestor atacuri, denumit IOCONTROL, este proiectat să se infiltreze în infrastructura critică, stârnind alarme atât în rândul experților în securitate cibernetică, cât și al guvernelor.

Amenințări la adresa infrastructurii critice sponsorizate de stat

CyberAv3ngers, care pretinde a fi un grup hacktivist, a fost legat de Corpul Gărzilor Revoluționare Islamice (IRGC) din Iran. Grupul a vizat anterior sistemele de control industrial (ICS) la instalațiile de apă din Irlanda și Statele Unite, provocând perturbări semnificative. De exemplu, într-un atac din 2023 asupra unei companii de apă din Pennsylvania, hackerii au exploatat ICS prost securizat, ceea ce a dus la întreruperi de alimentare cu apă pentru două zile.

Aspectul îngrijorător al acestor atacuri este dependența lor de vulnerabilitățile de bază. Multe dispozitive ICS și OT sunt lăsate expuse la internet cu parole implicite, făcându-le ținte ușoare pentru atacatori, fără a avea nevoie de tehnici avansate de hacking. Aceste lacune în domeniul securității evidențiază riscurile permanente prezentate de protecția slabă a infrastructurii.

Cum funcționează programul malware IOCONTROL

Potrivit cercetătorilor de la Claroty, IOCONTROL este o armă cibernetică special concepută pentru a viza dispozitivele bazate pe Linux încorporate în mediile IoT și OT. Malware-ul este versatil și poate fi personalizat pentru diferite dispozitive, inclusiv:

• Camere IP
• Routere
• Sisteme SCADA
• PLC-uri (controlere logice programabile)
• HMI-uri (Interfețe om-mașină)
• Firewall-uri

Furnizorii importanți afectați includ Baicells, D-Link, Hikvision, Phoenix Contact, Teltonika și Unitronics, printre alții. Această direcționare amplă sugerează că malware-ul poate exploata mai multe tipuri de dispozitive integrate în rețelele industriale și operaționale.

IOCONTROL comunică cu operatorii săi prin protocolul MQTT, un standard ușor de comunicare între mașină. Acest lucru permite atacatorilor să execute cod arbitrar, să efectueze scanări de porturi și să răspândească malware lateral în rețele, obținând un control mai profund asupra sistemelor compromise.

Atacuri recente de profil înalt

Una dintre cele mai alarmante campanii a avut loc în octombrie 2023, când CyberAv3ngers a susținut că a întrerupt 200 de pompe de benzină în Israel. Atacul a exploatat dispozitive legate de Orpak Systems, o companie care furnizează soluții de gestionare a benzinăriilor.

Analiza lui Claroty a IOCONTROL a dezvăluit un eșantion obținut dintr-un sistem de control al combustibilului Gasboy – strâns legat de Orpak – indicând că grupul și-a relansat potențial campania la mijlocul anului 2024. În ciuda investigațiilor în curs, rămâne neclar cum a fost distribuit inițial malware-ul.

Implicațiile mai largi

Atacurile atribuite IOCONTROL evidențiază accentul tot mai mare pe infrastructura critică civilă ca țintă pentru campaniile cibernetice sponsorizate de stat. Prin exploatarea vulnerabilităților IoT și OT, grupuri precum CyberAv3ngers pot provoca întreruperi pe scară largă, de la întreruperea alimentării cu apă până la oprirea distribuției de combustibil. Aceste acțiuni nu numai că prezintă riscuri pentru siguranța publică, dar creează și tensiune geopolitică.

Ca răspuns, guvernul SUA a oferit o recompensă de până la 10 milioane de dolari pentru informațiile care conduc la identificarea sau arestarea persoanelor asociate cu CyberAv3ngers. Acest lucru subliniază gravitatea acestor amenințări cibernetice și nevoia urgentă de apărare mai puternică împotriva lor.

Protejarea împotriva IOCONTROL și a amenințărilor similare

Organizațiile care gestionează dispozitive IoT și OT ar trebui să ia următorii pași pentru a atenua riscurile:

1. Schimbați acreditările implicite: multe atacuri reușesc din cauza parolelor slabe, implicite din fabrică. Implementați imediat politici puternice de parole.
2. Segmentarea rețelei: Izolați dispozitivele ICS și OT de rețelele care se confruntă cu internet pentru a limita punctele de acces potențiale pentru atacatori.
3. Actualizări regulate și corecție: asigurați-vă că toate dispozitivele rulează cele mai recente actualizări de firmware și de securitate.
4. Monitorizare pentru anomalii: implementați sisteme de detectare a intruziunilor pentru a identifica activități neobișnuite, cum ar fi scanări de porturi sau încercări de acces neautorizat.
5. Limitați accesul la distanță: restricționați accesul la dispozitivele ICS și OT, permițând conexiuni numai de la adrese IP de încredere.

Cuvinte finale

Campania de malware IOCONTROL este un memento clar al vulnerabilităților inerente sistemelor IoT și OT. Pe măsură ce grupurile sponsorizate de stat precum CyberAv3ngers vizează din ce în ce mai mult infrastructura critică, organizațiile trebuie să adopte măsuri proactive de securitate cibernetică pentru a se apăra împotriva acestor amenințări în evoluție. Prin securizarea rețelelor, aceștia pot preveni atacurile care ar putea avea un impact devastator asupra siguranței publice și a serviciilor esențiale.