dmitry2045

5 лет назад

Ландшафт угроз для систем промышленной автоматизации. Второе полугодие 2018

1. APT атаки на промышленные компании

1.1. Атаки APT-группировки Leafminer

В августе 2018 года стало известно о шпионских атаках группировки Leafminer, также получившей название RASPITE, на государственные организации, коммерческие и промышленные предприятия в США, а также в странах Европы, Ближнего Востока и Восточной Азии. Были атакованы компании различных сфер деятельности — энергетики, государственного сектора, финансовые, транспортные и другие.

Распределение целей Leafminer по отраслям (Источник: Symantec)

Для реализации своих атак злоумышленники используют различные общедоступные и специально разработанные инструменты, эксплойты, тактику watering hole и перебор по словарю. В арсенале Leafminer имеется известный эксплойт EternalBlue, а также модифицированная версия широко распространенной программы Mimikatz.

1.2. Новое вредоносное ПО GreyEnergy

17 октября 2018 года исследователи компании ESET опубликовали информацию об атаках ранее пропавшей с радаров исследователей APT группировки BlackEnergy, в которых использовалось ранее неизвестное вредоносное ПО. Атаки были нацелены преимущественно на промышленные сети различных организаций в Центральной и Восточной Европе. Обнаруженная вредоносная программа и группировка, стоящая за этими кибератаками, получили название GreyEnergy. В основном активность GreyEnergy направлена на энергетические компании, предприятия транспорта и организации других отраслей, с фокусом на организации, оперирующие объектами критической инфраструктуры.В ходе анализа GreyEnergy специалисты ESET выявили концептуальное сходство нового вредоносного ПО со зловредом BlackEnergy, который использовался в атаках на украинские энергосети в 2015 году. Исследователи ESET выявили связь группировки GreyEnergy с деятельностью преступной группы TeleBots, известной в связи со многими масштабными атаками, включая атаки с использованием вредоносного ПО NotPetya и BadRabbit в 2017 году.Позднее эксперты Kaspersky Lab ICS CERT обнаружили пересечение активности группы GreyEnergy и подмножества группы Sofacy (Fancy Bear, Sednit, APT28, Tsar Team, и др.), которое получило название Zebrocy.Вредоносная программа GreyEnergy имеет модульную архитектуру, что позволяет атакующим использовать различную функциональность, реализованную в подключаемых при необходимости DLL-библиотеках. В некоторых случаях вредоносные модули скачиваются с сервера управления и подгружаются напрямую в память без записи файла на жесткий диск.Вредоносное ПО GreyEnergy позволяет атакующим собирать учетные данные пользователей, в том числе для проникновения в технологические сети промышленных предприятий. Для этих целей группировка применяет и общедоступные инструменты, такие как Mimikatz, PsExec, WinExe, Nmap и пр.Основными векторами первоначального заражения GreyEnergy являются фишинговые почтовые сообщения и компрометация публичных веб-сервисов компаний. Однако, скорее всего, этими векторами атакующие не ограничились.Известно, что в прежних атаках группировка использовала уязвимость в GE Cimplicity, чтобы обеспечить выполнение HMI-сервером вредоносного .cim файла, размещенного на подконтрольном злоумышленникам сервере. Это приводило к установке вредоносного ПО BlackEnergy. Уязвимость получила идентификатор CVE-2014-0751.По данным «Лаборатории Касперского», злоумышленникам было также известно об уязвимости в Siemens WinCC, которую они использовали, чтобы проникнуть в сети выбранных жертв в своих более ранних атаках в 2014 году. Эта уязвимость (которую, вероятнее всего, уже исправил производитель и которая получила идентификатор CVE-2014-8551), использовалась также в недавних атаках.Кроме того, в прошлом группировка взламывала маршрутизаторы своих жертв, устанавливая модули и скрипты, предназначенные для различных целей, в том числе распространения по корпоративной сети. В настоящее время в дикой среде нет «живых» примеров взлома маршрутизаторов в ходе новых атак GreyEnergy, но вероятно, что они существуют, поскольку использование такого вектора атаки очень выгодно злоумышленникам, поскольку позволяет им регулярно собирать информацию об уязвимостях, в том числе нулевого дня, в различных моделях маршрутизаторов.

1.3. Кампания Sharpshooter

В декабре 2018 года исследователи компании McAfee сообщили об обнаружении глобальной кампании Sharpshooter («Снайпер»), направленной преимущественно на предприятия оборонной промышленности и ядерной энергетики, а также финансовые учреждения. Основной целью хакеров эксперты назвали шпионаж.Согласно опубликованным в декабре данным, с начала октября 2018 года, когда была обнаружена активность Sharpshooter, целевым атакам подверглось 87 организаций.

Распределение атакованных организаций в мире и по отраслям (Источник: McAfee)

Цепочка заражения начиналась с открытия документа Microsoft Word с вредоносным макросом. При его запуске активировался шелл-код, который действовал как обычный загрузчик и доставлял в систему имплант. Зараженные файлы распространялись злоумышленниками через Dropbox.Для атаки на предприятия злоумышленники использовали ранее неизвестный имплант – вредоносную программу, которая встраивается в систему атакованного компьютера. Эта программа получила название Rising Sun («Восходящее солнце»). Она работает только в памяти и представляет собой модульный бэкдор, предназначенный для сбора данных. Среди добываемых сведений — имя компьютера, IP-адрес жертвы, основная информация о системе и другие данные. Собранная информация в зашифрованном виде отсылается на сервер злоумышленников.Исследователи «Лаборатории Касперского» связывают эти атаки с деятельностью преступной группировки Lazarus.

1.4. MuddyWater

В начале декабря 2018 года компания Symantec сообщила об атаках группировки MuddyWater (она же Seedworm) на организации на Среднем Востоке, в Европе и Северной Америке с целью сбора данных.По данным экспертов, в период с конца сентября по середину ноября 2018 года жертвами киберпреступников стали более 130 сотрудников в 30 организациях в основном в Пакистане и Турции. Атакам также подвергались организации в России, Саудовской Аравии, Афганистане, Иордании и других странах.В числе основных интересов группировки упоминается нефтегазовый сектор. Среди жертв атак оказались также университеты на Среднем Востоке и посольства стран ближневосточного региона в европейских государствах.

Распределение атакованных MuddyWater компаний по индустриям (источник: Symantec)

1.5. Cloud Hopper

В середине декабря 2018 Федеральное ведомство по безопасности информационной техники ФРГ (BSI) разослало различным предприятиям Германии предупреждения о возможных атаках Cloud Hopper – предположительно со стороны китайской группировки APT10. В предупреждении сообщалось, что в числе атакованных уже оказались несколько крупных машиностроительных компаний. Также интерес для злоумышленников представляли компании, работающие в сферах строительства и материаловедения.Группировка атаковала своих потенциальных жертв не напрямую, а через небольших облачных и хостинговых провайдеров, предоставляющих атакуемым компаниям свои услуги. Через провайдеров, уровень информационной безопасности которых зачастую бывает невысоким, злоумышленники попадали в компьютерные сети целевых компаний.Эксперты полагают, что целью атак китайских хакеров мог быть промышленный шпионаж.

1.6. Shamoon v.3

10 декабря 2018 года итальянская нефтегазовая компания Saipem сообщила о кибератаке на свои серверы, расположенные на Ближнем Востоке, в Индии, Шотландии и Италии. Позднее стало известно, что в ходе атаки использовался новый вариант червя Shamoon – Shamoon v3. В результате инцидента пострадали порядка 300-400 серверов и до 100 персональных компьютеров.После сообщения об инциденте в Saipem компания Symantec обнаружила доказательства подобных атак на еще две организации нефтегазовой отрасли в Саудовской Аравии и ОАЭ, произошедшие примерно в то же время.Вредоносное ПО Shamoon стало известно в 2012 году после заражения сетей нефтяных компаний Saudi Aramco и Rasgas. В 2016-2017 годах произошла новая волна атак с использованием зловреда, являющегося модификацией Shamoon (Shamoon v2), вместе с другой вредоносной программой StoneDrill.В атаках 2018 года вместе с Shamoon v3 была обнаружена еще одна новая вредоносная программа Filerase. Это вредоносное ПО предназначено для удаления (перезаписи) файлов на зараженном компьютере.За счет использования Filerase новые атаки являются более разрушительными, чем при использовании только одного вредоносного ПО Shamoon. Shamoon используется для удаления основной загрузочной записи, и при заражении Shamoon, файлы на жестком диске могут быть восстановлены. При использовании вредоносной программы Filerase это становится невозможным.Filerase имеет модульную структуру и включает несколько компонентов, отвечающих за распространение Filerase по сети жертвы. Это позволяет использовать Filerase как отдельную угрозу.Filerase распространяется по локальной сети жертвы с одного исходного зараженного компьютера, используя список целевых компьютеров. При заражении список целевых компьютеров копируется компонентом с именем OCLC.exe и передается другому инструменту под названием Spreader.exe, который затем копирует Filerase на все компьютеры из списка. Этот список в виде текстового файла уникален для каждой жертвы – вероятно, атакующие собрали эту информацию на более ранней стадии вторжения.Эксперты McAfee считают, что к атакам Shamoon v3 имеет отношение иранская киберпреступная группировка APT33 или некая группа, маскирующаяся под нее. Подобное предположение сделали и исследователи Symantec.В конце декабря специалисты компании Anomali Labs сообщили об еще одном новом варианте Shamoon, который был загружен в базу данных сервиса VirusTotal 23 декабря. Вредоносная программа маскировался под инструмент для настройки и оптимизации системы китайской компании Baidu.

2. Киберпреступная деятельность

2.1. Атаки программ-вымогателей

По данным Kaspersky Lab ICS CERT, во втором полугодии 2018 года процент компьютеров АСУ, на которых были предотвращены попытки заражений программами-вымогателями, вырос с 1,6% до 2%.Вредоносная программа-шифровальщик WannaCry до сих пор является актуальной угрозой, в том числе и для промышленных предприятий. Напомним, что в марте 2018 года атаке WannaCry подверглись системы американской авиастроительной корпорации Boeing. По данным «Лаборатории Касперского» в третьем квартале 2018 года WannaCry был лидером среди семейств вредоносных программ-вымогателей по проценту атакованных пользователей (28,72%).Даже по прошествии целого года c нашумевшей эпидемии эта вредоносная программа продолжает заражать технологические сети промышленных предприятий. Так, 3 августа 2018 года WannaCry поразил несколько заводов компании Taiwan Semiconductor Manufacturing Company (TSMC), производящей чипы для смартфонов iPhone американской компании Apple.Согласно опубликованной информации, заражение произошло при установке программного обеспечения нового производственного инструмента: поставщик подключил к сети TSMC программное обеспечение, не проверив его защитными средствами. Инфекция быстро распространилось и поразила заводы в Тайнане, Синьчжу и Тайчжуне. В результате работа предприятий на Тайване была остановлена на три дня.Еще один инцидент, связанный с атакой другого вымогательского ПО, произошел 28 ноября 2018 года на Московской канатной дороге. По сообщениям компании-оператора, в результате атаки на серверы компании были зашифрованы файлы на «головном компьютере». Сотрудники Московской канатной дороги оперативно высадили всех пассажиров на станциях и остановили движение дороги. За расшифровку файлов злоумышленники потребовали выкуп в биткойнах, размер которого зависел от скорости его выплаты. Штатная работа канатной дороги была восстановлена через два дня.

2.2. Фишинговые атаки на российские промышленные компании

В августе 2018 Kaspersky Lab ICS CERT опубликовал результаты расследования фишинговых атак на промышленные компании, объекты которых расположены преимущественно на территории Российской Федерации. Основная цель атакующих – кража денежных средств со счетов организаций.Атаки начались еще в ноябре 2017 года и, похоже, злоумышленники не собираются останавливаться. Рассылаемые письма с вредоносными вложениями замаскированы под легитимные коммерческие предложения, их содержание соответствует деятельности атакуемой организации. В более поздней волне атак фишинговые письма стали рассылать от имени партнеров атакуемой компании. Такие письма содержат архивы, защищенные паролем, указанным в тексте письма. Внутри архивов находятся вредоносные скрипты, которые устанавливают в систему вредоносное ПО и загружают с удаленного сервиса злоумышленников легитимные документы, по-видимому, ранее украденные атакующими.На компьютер жертвы устанавливается легитимное ПО для удаленного администрирования — TeamViewer или Remote Manipulator System/Remote Utilities (RMS). Графический интерфейс этих программ скрывается вредоносным ПО, что позволяет злоумышленникам управлять зараженной системой незаметно для пользователя.На зараженных компьютерах злоумышленники ищут ПО для осуществления финансовых и бухгалтерских операций, находят и изучают бухгалтерские документы о проводимых закупках, адреса и переписку с партнерами. Полученная информация используется для совершения финансовых махинаций – например, подмены реквизитов, по которым производится оплата счетов.При необходимости на зараженный компьютер загружается дополнительный набор вредоносного ПО, сформированный с учетом особенности атаки на каждую жертву. Преступники используют шпионское ПО и утилиту Mimikatz для кражи аутентификационных данных, которые потом применяют для заражения других компьютеров в сети предприятия. Кроме того, зачастую для сокрытия следов вредоносной активности злоумышленники маскируют компоненты вредоносного ПО под компоненты операционной системы Windows.

Общая схема фишинговой атаки

По мнению экспертов Kaspersky Lab ICS CERT, за атаками с высокой долей вероятности стоит преступная группировка, члены которой владеют русским языком.

2.3. Фишинговые атаки на предприятия в других странах

В октябре 2018 года исследователи группы реагирования на компьютерные инциденты компании Yoroi (Yoroi CERT) обнаружили несколько атак, нацеленных на предприятия военно-морской и оборонной индустрий. Сотрудники атакованных компаний получили фишинговые письма, содержащие во вложении вредоносный Excel файл.Вредоносный Excel файл предназначался для загрузки на систему жертвы троянца для удаленного доступа, который исследователи назвали MartyMcFly. С помощью него злоумышленники могут получать контроль над атакуемой системой и похищать данные. В ходе атаки использовалась также модифицированная утилита удаленного администрирования QuasarRAT, исходные коды которой доступны на github.По данным Kaspersky Lab ICS CERT, указанные в публикации Yoroi фишинговые документы с различными именами рассылались в письмах компаниям во многих странах, таких как Германия, Испания, Болгария, Казахстан, Индия, Румыния и других. Сферы деятельности атакованных компаний также весьма разнообразны, начиная от поставки бобов и заканчивая оказанием консалтинговых услуг.

География детектирования вредоносного xlsx-документа из фишинговых писем (по данным Kaspersky Security Network)

Эксперты Kaspersky Lab ICS CERT считают, что за данной атакой стоит киберкриминальная группа, которая проводит массовые фишинговые рассылки на адреса различных компаний, в число которых иногда попадают объекты критической инфраструктуры. Целью подобных групп является кража финансовых данных и денежных средств.

3. Уязвимости, обнаруженные в 2018 году

3.1.1. Уязвимости в различных компонентах АСУ ТП

Анализ уязвимостей проводился на основе уведомлений производителей, общедоступной информации из открытых баз уязвимостей (US ICS-CERT, CVE, Siemens Product CERT), а также результатов собственных исследований Kaspersky Lab ICS CERT.В качестве данных для статистики использовалась информация об уязвимостях, опубликованная на сайте US ICS-CERT в 2018 году.

3.1.2. Количество обнаруженных уязвимостей

В 2018 году на сайте US ICS-CERT было опубликовано 415 уязвимостей, выявленных в различных компонентах АСУ ТП – на 93 больше, чем в 2017 году.

Количество уязвимостей в разных компонентах АСУ ТП, опубликованных на сайте US ICS-CERT

3.1.3. Анализ по отраслям

Большая часть уязвимостей затрагивает автоматизированные системы, управляющие производственными процессами различных предприятий (115), энергетикой (110) и водоснабжением (63). В числе лидеров также автоматизированные системы управления, применяемые в пищевой промышленности и сельском хозяйстве, а также в химической промышленности.

Количество уязвимых продуктов, используемых в различных отраслях (по классификации US ICS-CERT). Уязвимости, опубликованные в 2018 году

3.1.4. Степень риска выявленных уязвимостей

Больше половины выявленных в системах АСУ ТП уязвимостей (284, в прошлом году — 194) получили оценку более 7 баллов по шкале CVSS версии 3.0, что соответствует высокой и критической степени риска.Оценка степени рискаот 9 до 10 (критическая)от 7 до 8,9 (высокая)от 4 до 6,9 (средняя)от 0 до 3,9 (низкая)Количество уязвимостей921921283Таблица 1. Распределение опубликованных уязвимостей по степени рискаВ сравнении с данными прошлого года доля уязвимостей, имеющих высокую и критическую степень риска, возросла.

Процент уязвимостей по степени риска (по шкале CVSS v.3), 2018 год в сравнении с 2017 годом

Наивысшая оценка в 10 баллов была присвоена уязвимостям, обнаруженным в следующих продуктах:

Большинство уязвимостей, получивших 10 баллов, связаны с проблемами аутентификации или переполнением буфера.Необходимо отметить, что оценка CVSS не учитывает специфику систем промышленной автоматизации и особенности технологических процессов конкретной организации. Поэтому при оценке критичности уязвимости помимо количества баллов по шкале CVSS мы рекомендуем учитывать возможные последствия ее эксплуатации, такие как нарушение или ограничение выполнения функций АСУ ТП, влияющих на непрерывность технологического процесса.

3.1.5. Типы выявленных уязвимостей

Среди наиболее распространенных типов уязвимостей – переполнение буфера (Stack-based Buffer Overflow, Heap-based Buffer Overflow, Classic Buffer Overflow) и некорректная проверка входных данных (Improper Input Validation).При этом 16% всех опубликованных уязвимостей связаны с проблемами аутентификации (Improper Authentication, Authentication Bypass, Missing Authentication for Critical Function) и с проблемами управления доступом (Access Control, Incorrect Default Permissions, Improper Privilege Management, Credentials Management), а 10% – являются веб-уязвимостями (Injection, Path traversal, Cross-site request forgery (CSRF), Cross-site scripting, XXE).

Наиболее распространенные типы уязвимостей. Уязвимости, опубликованные в 2018 году

В сравнении с прошлым годом доля уязвимостей, связанных с переполнением буфера, значительно возросла. На наш взгляд, данное явление может быть связано с повышением интереса исследователей безопасности к компонентам АСУ ТП и, в том числе, стремлением автоматизировать поиск уязвимостей за счет применения техники фаззинга (fuzzing), которая позволяет находить бинарные уязвимости.

Процент уязвимостей различных типов от общего числа уязвимостей, сравнение 2018 года с 2017 годом

Эксплуатация злоумышленниками уязвимостей в различных компонентах АСУ ТП может привести к выполнению произвольного кода, несанкционированному управлению промышленным оборудованием и отказу в его работе (DoS). При этом большинство уязвимостей (342) могут эксплуатироваться удаленно без аутентификации, и их эксплуатация не требует от злоумышленника специальных знаний и высокого уровня навыков.По данным US ICS-CERT для 23 уязвимостей опубликованы эксплойты, что повышает риск их злонамеренного использования.

3.1.6. Уязвимые компоненты АСУ ТП

Наибольшее количество уязвимостей было выявлено в:

инженерном ПО (143),
SCADA/HMI-компонентах (81),
сетевых устройствах промышленного назначения (66),
ПЛК (47).

Среди уязвимых компонентов также промышленные компьютеры и серверы (5%), системы промышленного видеонаблюдения (4%), различные устройства полевого уровня, и РЗА.

Распределение уязвимостей по компонентам АСУ ТП. Уязвимости, опубликованные в 2018 году

3.1.7. Уязвимости в инженерном ПО

В число уязвимого инженерного ПО попали различные программные платформы для разработки HMI/SCADA-решений, инструменты для программирования контроллеров и прочее.Зачастую проблемы безопасности инженерного ПО связаны с уязвимостями в стороннем ПО, которое используется в их составе. За счет широкого использования таких сторонних компонентов уязвимости в них могут затрагивать сразу множество промышленных продуктов. Так, например, Siemens Building Technologies Products и Siemens SIMATIC WinCC Add-On, оказались уязвимыми в связи с использованием в их составе уязвимой версии менеджера лицензий Sentinel LDK RTE. Целые линейки промышленных продуктов компании Siemens также оказались подвержены уязвимости в OpenSSL. Аналогично, уязвимости в программном обеспечении Flexera Publisher, которое входит в состав Floating License Manager, затронули сразу ряд продуктов компании Schneider Electric.Кроме того, отдельное внимание стоит уделить уязвимостям в различных мобильных приложениях, которые используются инженерами и операторами для удаленного доступа к АСУ ТП с помощью смартфонов и планшетов под управлением операционных систем Android и iOS. Среди таких продуктов, в которых были обнаружены уязвимости, например, SIMATIC WinCC OA iOS App, IGSS Mobile, SIMATIC WinCC OA UI Mobile App, General Motors and Shanghai OnStar (SOS) iOS Client. Такие мобильные приложения все чаще используются в инфраструктуре АСУ ТП. Однако уровень их защищенности оставляет желать лучшего, что несет в себе большие риски: компрометация мобильных приложений может привести к компрометации всей инфраструктуры АСУ ТП.Аналогичная проблема связана с внедрением в АСУ ТП облачных технологий. Так, в 2018 году среди уязвимых устройств оказались аппаратные IoT-шлюзы MindConnect Nano и MindConnect IoT2040, используемые для подключения промышленного оборудования к облачной платформе MindSphere компании Siemens.

3.1.8. Уязвимости в промышленных компьютерах и серверах

Проблемы безопасности, выявленные в 2018 году в промышленных компьютерах и серверах, главным образом, связаны с обнаруженными уязвимостями в процессорах ведущих производителей, включая уязвимости Meltdown и Spectre, а также Spectre Next Generation (Spectre-NG).Еще одной уязвимостью, которая затронула сразу ряд промышленных компьютеров, стала RCE-уязвимость в Trusted Platform Module (TPM).Это еще раз говорит о возможном влиянии уязвимостей в «традиционных» технологиях (не специфических для АСУ ТП уязвимостей) на промышленные системы.

3.1.9. Уязвимости в решениях по защите промышленных сетей

Помимо аппаратных и программных компонентов АСУ ТП в 2018 году уязвимости были обнаружены в решениях по защите промышленных сетей: платформе управления доступом Nortek Linear eMerge E3 Series и устройстве сетевой безопасности Allen-Bradley Stratix 5950 от компании Rockwell Automation.Случаи обнаружения уязвимостей в таких продуктах являются важным напоминанием, что угрозы безопасности могут быть реализованы за счет брешей безопасности не только в программных или аппаратных компонентах АСУ ТП, но и в решениях, используемых для их защиты.

3.2. Уязвимости, обнаруженные Kaspersky Lab ICS CERT

В 2018 году эксперты Kaspersky Lab ICS CERT продолжили начатые в прошлом году исследования проблем безопасности в сторонних программных и программно-аппаратных решениях, широко применяемых в системах промышленной автоматизации. Особе внимание было уделено продуктам с открытым исходным кодом, которые используются различными производителями в своих решениях. Иллюзия безопасности таких продуктов может повлечь за собой большое число жертв атак злоумышленников.Кроме того, новым направлением исследований стал поиск уязвимостей в программном обеспечении автомобилей.

3.2.1. Количество найденных уязвимостей

По результатам исследований Kaspersky Lab ICS CERT в 2018 году было выявлено 61 уязвимостей в промышленных системах и системах IIoT/IoT.

Распределение уязвимостей, найденных Kaspersky Lab ICS CERT в 2018 году, по типам исследованных компонентов

Обо всех обнаруженных уязвимостях мы незамедлительно проинформировали производителей соответствующих продуктов.

3.2.2. Количество опубликованных CVE

В течение 2018 года на основании информации об обнаруженных Kaspersky Lab ICS CERT уязвимостях было опубликовано 37 CVE (некоторые CVE включают несколько уязвимостей). Отметим, что 15 из них были опубликованы после того, как вендоры закрыли уязвимости, информацию о которых получили еще в 2017 году.Информация об остальных уязвимостях, обнаруженных экспертами Kaspersky Lab ICS CERT, будет опубликована после их устранения.

3.2.3. Возможные последствия эксплуатации найденных уязвимостей

Эксплуатация 46% выявленных уязвимостей может привести к удаленному выполнению произвольного кода в целевой системе или отказу в обслуживании (DoS). Также значительная часть уязвимостей (21%) может позволить злоумышленнику обойти аутентификацию.

Распределение уязвимостей, найденных Kaspersky Lab ICS CERT в 2018 году, по возможным последствиям эксплуатации