Bilgisayar korsanları, kötü amaçlı yazılım içeren endüstriyel sistemleri hedef alıyor

Hatalı olabilecek dosyalardan şu çıkıyor: Bir endüstriyel kontrol mühendisi, kaybolan parolaları kurtarmak için bir araç olarak yanlışlıkla kötü amaçlı yazılım reklamı kurduktan sonra, kısa süre önce bir iş istasyonunu bir botnet’in parçası yaptı.

Kayıp şifreler birçok kuruluşta olur. Fabrikalar, elektrik santralleri ve diğer endüstriyel ortamlardaki süreçleri otomatikleştirmek için kullanılan programlanabilir bir mantık denetleyicisi kurulabilir ve sonraki yıllarda büyük ölçüde unutulabilir. Değiştirilen bir mühendis daha sonra PLC’yi etkileyen bir sorun belirlediğinde, artık uzun süredir devam eden orijinal mühendisin şirketten ayrılmadan önce parolayı asla geride bırakmadığını keşfedebilirler.

Güvenlik firması Dragos’un bir blog gönderisine göre, tüm bir kötü amaçlı yazılım ekosistemi endüstriyel tesislerde bunun gibi senaryolardan yararlanmaya çalışıyor. Aşağıdakiler gibi çevrimiçi reklamlar, bu ortamların çalışma gücü olan PLC’ler ve insan-makine arayüzleri için şifre kırıcıları tanıtmaktadır.

Endüstriyel sisteminiz bir botnet’in parçası olduğunda

Firmaların endüstriyel kontrol sistemlerini fidye yazılımlarına, devlet destekli bilgisayar korsanlarına ve potansiyel sabotajcılara karşı korumalarına yardımcı olan Dragos, kısa süre önce rutin bir güvenlik açığı değerlendirmesi yaptı ve bir müşterinin sisteminin DirectLogic 06 için düz metin parolasını başarıyla kurtarabilen bir yazılım çalıştırdığını keşfetti. Automation Direct tarafından satılan PLC. Yazılım şifreyi kurtardı, ancak normal şifreleme karmasını kırma yöntemini kullanmadı. Bunun yerine yazılım, Otomatik Doğrudan PLC’lerde parolayı açığa çıkaran sıfırıncı gün güvenlik açığından yararlandı.

Dragos araştırmacısı Sam Hanson, “DirectLogic PLC’leri hedef alan önceki araştırmalar başarılı kırma teknikleriyle sonuçlanmıştı” diye yazdı. “Ancak Dragos, bu istismarın, popüler istismar çerçevelerinde tarihsel olarak görüldüğü gibi şifrenin şifreli bir versiyonunu kırmadığını buldu. Bunun yerine, kötü amaçlı yazılım düşürücü tarafından bir COM bağlantı noktasına belirli bir bayt dizisi gönderilir.

Güvenlik açığı ve yine Hanson tarafından bulunan ilgili bir güvenlik açığı düzeltildi ve CVE-2022-2033 ve CVE-2022-2004 olarak izleniyor. İkinci güvenlik açığı, parolaları kurtarabilir ve onları uzaktaki bir bilgisayar korsanına gönderebilir ve önem derecesini olası 10 üzerinden 7,5’e yükseltebilir.

Dragos müşterisinin ağına yüklenen yazılım, parolayı kurtarmanın yanı sıra, Sality olarak bilinen kötü amaçlı yazılımı da yükledi. Virüs bulaşmış sistemi bir botnet’in parçası haline getirdi ve kripto para cüzdan adresleriyle ilgili herhangi bir veri için her yarım saniyede bir virüslü iş istasyonunun panosunu izledi.

Hanson, “Görülürse, saldırgan adresi tehdit aktörüne ait bir adresle değiştirir” dedi. “Bu gerçek zamanlı ele geçirme, para transferi yapmak isteyen kullanıcılardan kripto para çalmanın etkili bir yolu ve düşmanın finansal olarak motive olduğuna dair güvenimizi artırıyor.”

Hanson, başka şirketler tarafından satılan çok çeşitli endüstriyel yazılımlar için çevrimiçi reklamı yapılan şifre kırıcılar bulduğunu söylemeye devam etti. Onlar içerir:

Dragos, yalnızca DirectLogic cihazlarını hedefleyen kötü amaçlı yazılımı test etti, ancak birkaç örneğin ilkel bir analizi, bunların da kötü amaçlı yazılım içerdiğini gösterdi.

Hanson, “Genel olarak, bu tür yazılımlar için bir ekosistem var gibi görünüyor” dedi. “Birkaç web sitesi ve birden fazla sosyal medya hesabı, şifrelerini ‘kırıcılar’ olarak ilan ediyor.”

Hesap endişe verici çünkü birçok endüstriyel kontrol ortamında çalışmaya devam eden gevşekliği gösteriyor. Dragos müşterisine bulaşan kötü amaçlı yazılımın arkasındaki suçlular paranın peşindeydi, ancak bir barajı, elektrik santralini veya benzer tesisi sabote etmek için daha fazla kötü niyetli bilgisayar korsanının çok daha ciddi sonuçlarla benzer bir saldırı gerçekleştirememesi için hiçbir neden yok.