Iranski hekerji nameščajo zlonamerno programsko opremo IOCONTROL za tarčo IoT in OT naprav v ZDA in Izraelu

Razvpita iranska hekerska skupina CyberAv3ngers je bila povezana s serijo kibernetskih napadov, usmerjenih na naprave IoT (Internet of Things) in OT (Operational Technology) v Združenih državah in Izraelu. Po meri ustvarjena zlonamerna programska oprema, ki stoji za temi napadi, imenovana IOCONTROL, je zasnovana tako, da prodre v kritično infrastrukturo in sproži alarme med strokovnjaki za kibernetsko varnost in vladami.

Državno sponzorirane grožnje kritični infrastrukturi

CyberAv3ngers, ki trdi, da je hektivistična skupina, je povezan z iransko Korpusom islamske revolucionarne garde (IRGC). Skupina je že prej ciljala na industrijske nadzorne sisteme (ICS) v vodnih objektih na Irskem in v Združenih državah, kar je povzročilo znatne motnje. Na primer, v enem napadu leta 2023 na vodovodno podjetje v Pensilvaniji so hekerji izkoristili slabo zavarovan ICS, kar je povzročilo dva dni izpada oskrbe z vodo.

Zaskrbljujoč vidik teh napadov je njihova odvisnost od osnovnih ranljivosti. Številne naprave ICS in OT ostanejo izpostavljene internetu s privzetimi gesli, zaradi česar so lahke tarče za napadalce, ne da bi potrebovali napredne tehnike vdiranja. Te vrzeli v varnosti poudarjajo stalna tveganja, ki jih povzroča šibka infrastrukturna zaščita.

Kako deluje zlonamerna programska oprema IOCONTROL

Po mnenju raziskovalcev pri Clarotyju je IOCONTROL kibernetsko orožje, posebej zasnovano za ciljanje na vgrajene naprave, ki temeljijo na Linuxu, v okoljih IoT in OT. Zlonamerna programska oprema je vsestranska in jo je mogoče prilagoditi za različne naprave, vključno z:

• IP kamere
• Usmerjevalniki
• SCADA sistemi
• PLC-ji (programabilni logični krmilniki)
• HMI (vmesniki človek-stroj)
• Požarni zidovi

Pomembni prizadeti prodajalci so med drugim Baicells, D-Link, Hikvision, Phoenix Contact, Teltonika in Unitronics. To široko ciljanje nakazuje, da lahko zlonamerna programska oprema izkorišča več vrst naprav, ki so del industrijskih in operativnih omrežij.

IOCONTROL komunicira s svojimi operaterji prek protokola MQTT, lahkega komunikacijskega standarda stroj-stroj. To napadalcem omogoča izvajanje poljubne kode, skeniranje vrat in bočno širjenje zlonamerne programske opreme po omrežjih, s čimer pridobijo globlji nadzor nad ogroženimi sistemi.

Nedavni odmevni napadi

Ena najbolj zaskrbljujočih kampanj se je zgodila oktobra 2023, ko je CyberAv3ngers trdil, da je motil 200 bencinskih črpalk v Izraelu. Napad je izkoristil naprave, povezane z Orpak Systems, podjetjem, ki ponuja rešitve za upravljanje bencinskih črpalk.

Clarotyjeva analiza IOCONTROL je razkrila vzorec, pridobljen iz sistema za nadzor goriva Gasboy – tesno povezanega z Orpakom – kar nakazuje, da je skupina potencialno ponovno zagnala svojo kampanjo sredi leta 2024. Kljub tekočim preiskavam ostaja nejasno, kako je bila zlonamerna programska oprema prvotno razširjena.

Širše posledice

Napadi, pripisani IOCONTROL-u, poudarjajo vse večji poudarek na civilni kritični infrastrukturi kot tarči kibernetskih kampanj, ki jih sponzorira država. Z izkoriščanjem ranljivosti IoT in OT lahko skupine, kot je CyberAv3ngers, povzročijo obsežne motnje, od prekinitve oskrbe z vodo do zaustavitve distribucije goriva. Ta dejanja ne predstavljajo le tveganja za javno varnost, temveč ustvarjajo tudi geopolitične napetosti.

V odgovor je ameriška vlada ponudila nagrado do 10 milijonov dolarjev za informacije, ki bi privedle do identifikacije ali aretacije posameznikov, povezanih s CyberAv3ngers. To poudarja resnost teh kibernetskih groženj in nujno potrebo po močnejši obrambi pred njimi.

Zaščita pred IOCONTROL in podobnimi grožnjami

Organizacije, ki upravljajo naprave IoT in OT, bi morale sprejeti naslednje korake za zmanjšanje tveganj:

1. Spremenite privzete poverilnice: veliko napadov je uspešnih zaradi šibkih, tovarniško privzetih gesel. Takoj uvedite politike močnih gesel.
2. Segmentacija omrežja: Izolirajte naprave ICS in OT od omrežij, usmerjenih v internet, da omejite potencialne dostopne točke za napadalce.
3. Redne posodobitve in popravki: zagotovite, da vse naprave uporabljajo najnovejšo vdelano programsko opremo in varnostne posodobitve.
4. Spremljajte nepravilnosti: uvedite sisteme za zaznavanje vdorov za prepoznavanje nenavadne dejavnosti, kot so pregledi vrat ali poskusi nepooblaščenega dostopa.
5. Omejitev oddaljenega dostopa: Omejite dostop do naprav ICS in OT ter dovolite povezave le z zaupanja vrednih naslovov IP.

Končne besede

Kampanja zlonamerne programske opreme IOCONTROL je močan opomnik o ranljivostih, ki so del sistemov IoT in OT. Ker skupine, ki jih sponzorira država, kot je CyberAv3ngers, vedno bolj ciljajo na kritično infrastrukturo, morajo organizacije sprejeti proaktivne ukrepe kibernetske varnosti za obrambo pred temi razvijajočimi se grožnjami. Z zaščito svojih omrežij lahko preprečijo napade, ki bi lahko imeli uničujoče posledice za javno varnost in osnovne storitve.