Iránski hackeri nasadili malvér IOCONTROL na zacielenie zariadení internetu vecí a OT v USA a Izraeli

Notoricky známa iránska hackerská skupina CyberAv3ngers bola spojená so sériou kybernetických útokov zameraných na zariadenia IoT (Internet of Things) a OT (Operational Technology) v Spojených štátoch a Izraeli. Na mieru vytvorený malvér stojaci za týmito útokmi, nazývaný IOCONTROL, je navrhnutý tak, aby infiltroval kritickú infraštruktúru a vyvolal poplach medzi odborníkmi na kybernetickú bezpečnosť aj vládami.

Štátom sponzorované hrozby pre kritickú infraštruktúru

CyberAv3ngers, ktorá tvrdí, že je hacktivistickou skupinou, je napojená na iránsku Islamskú revolučnú gardu (IRGC). Skupina sa už predtým zamerala na priemyselné riadiace systémy (ICS) vo vodných zariadeniach v Írsku a Spojených štátoch, čo spôsobilo značné poruchy. Napríklad pri jednom útoku na vodárenskú spoločnosť v Pensylvánii v roku 2023 hackeri zneužili zle zabezpečené ICS, čo viedlo k dvojdňovým výpadkom dodávky vody.

Zaujímavým aspektom týchto útokov je ich spoliehanie sa na základné zraniteľnosti. Mnoho zariadení ICS a OT je vystavených internetu s predvolenými heslami, čo z nich robí ľahké ciele pre útočníkov bez potreby pokročilých techník hackerstva. Tieto medzery v bezpečnosti zdôrazňujú pretrvávajúce riziká, ktoré predstavuje slabá ochrana infraštruktúry.

Ako funguje malvér IOCONTROL

Podľa výskumníkov z Claroty je IOCONTROL kybernetická zbraň špeciálne navrhnutá na zacielenie na vstavané zariadenia založené na Linuxe v prostrediach internetu vecí a OT. Malvér je všestranný a možno ho prispôsobiť pre rôzne zariadenia vrátane:

• IP kamery
• Smerovače
• SCADA systémy
• PLC (programovateľné logické radiče)
• HMI (rozhrania človek-stroj)
• Firewally

Medzi významných dotknutých predajcov patria okrem iného Baicells, D-Link, Hikvision, Phoenix Contact, Teltonika a Unitronics. Toto široké zacielenie naznačuje, že malvér môže využívať viaceré typy zariadení, ktoré sú súčasťou priemyselných a prevádzkových sietí.

IOCONTROL komunikuje so svojimi operátormi prostredníctvom protokolu MQTT, ľahkého komunikačného štandardu medzi strojmi. To umožňuje útočníkom spúšťať ľubovoľný kód, vykonávať skenovanie portov a šíriť malvér laterálne cez siete, čím získavajú hlbšiu kontrolu nad napadnutými systémami.

Nedávne vysokoprofilové útoky

Jedna z najznepokojujúcejších kampaní sa odohrala v októbri 2023, keď CyberAv3ngers tvrdili, že narušili 200 čerpacích staníc v Izraeli. Útok zneužil zariadenia spojené so spoločnosťou Orpak Systems, ktorá poskytuje riešenia na správu čerpacích staníc.

Clarotyho analýza IOCONTROL odhalila vzorku získanú z palivového riadiaceho systému Gasboy – úzko prepojeného s Orpakom – čo naznačuje, že skupina potenciálne znovu spustila svoju kampaň v polovici roku 2024. Napriek prebiehajúcemu vyšetrovaniu zostáva nejasné, ako bol malvér pôvodne distribuovaný.

Širšie dôsledky

Útoky pripisované organizácii IOCONTROL poukazujú na rastúce zameranie sa na civilnú kritickú infraštruktúru ako cieľ štátom sponzorovaných kybernetických kampaní. Využitím zraniteľností internetu vecí a OT môžu skupiny ako CyberAv3ngers spôsobiť rozsiahle poruchy, od prerušenia dodávok vody až po zastavenie distribúcie paliva. Tieto akcie nielenže predstavujú riziko pre verejnú bezpečnosť, ale vytvárajú aj geopolitické napätie.

V reakcii na to vláda USA ponúkla odmenu až 10 miliónov dolárov za informácie vedúce k identifikácii alebo zatknutiu jednotlivcov spojených s CyberAv3ngers. To podčiarkuje závažnosť týchto kybernetických hrozieb a naliehavú potrebu silnejšej obrany proti nim.

Ochrana pred IOCONTROL a podobnými hrozbami

Organizácie spravujúce IoT a OT zariadenia by mali prijať nasledujúce kroky na zmiernenie rizík:

1. Zmena predvolených poverení: Mnoho útokov je úspešných kvôli slabým heslám predvoleným výrobcom. Okamžite implementujte zásady silných hesiel.
2. Segmentácia siete: Izolujte zariadenia ICS a OT od sietí orientovaných na internet, aby ste obmedzili potenciálne prístupové body pre útočníkov.
3. Pravidelné aktualizácie a opravy: Uistite sa, že všetky zariadenia používajú najnovší firmvér a aktualizácie zabezpečenia.
4. Monitorovanie anomálií: Nasaďte systémy detekcie narušenia na identifikáciu nezvyčajných aktivít, ako sú skenovanie portov alebo pokusy o neoprávnený prístup.
5. Obmedziť vzdialený prístup: Obmedzte prístup k zariadeniam ICS a OT, povoľte pripojenia iba z dôveryhodných adries IP.

Záverečné slová

Malvérová kampaň IOCONTROL je jasnou pripomienkou zraniteľností, ktoré sú vlastné systémom internetu vecí a OT. Keďže štátom sponzorované skupiny, ako sú CyberAv3ngers, sa čoraz viac zameriavajú na kritickú infraštruktúru, organizácie musia prijať proaktívne opatrenia v oblasti kybernetickej bezpečnosti na obranu proti týmto vyvíjajúcim sa hrozbám. Zabezpečením svojich sietí môžu zabrániť útokom, ktoré by mohli mať ničivé dopady na verejnú bezpečnosť a základné služby.