安全路透社
当前位置:安全路透社 > 网络转载 > 正文

往水里投毒?解析针对工业控制系统的勒索攻击

PLCs-hacking.jpg

近年来,勒索软件攻击已经成为一个非常让人担忧的安全问题,为了获得高额的利益回报,网络犯罪者逐渐把目标转向了医疗、金融等高价值行业。尽管目前所有的勒索攻击都只是针对个人电脑,但随着攻击面的不断扩大,最近的一些分析表明,工控系统网络极有可能成为勒索软件的下一个攻击目标,工控系统相关的关键基础设施也将面临勒索攻击的可能。

昨天FreeBuf的文章《勒索软件新威胁:你敢不付赎金,我就敢往你喝的水里投毒》中提到了一种威胁工控系统的勒索软件,而下面这篇文章则对此进行了深入剖析,来看看勒索软件何以有如此能耐。

在这项项研究中,佐治亚理工学院网络安全专家开发了第一个针对可编程逻辑控制器(PLC)的勒索软件,模拟城市供水设施作为勒索攻击目标进行攻击建模和影响评估。(该项研究也作为专题报告在近期RSA大会上作了分享展示)

对供水设施的勒索攻击演示视频:

研究介绍

工控攻击事件鲜有发生,但这并不代表工控系统就是安全的,据卡巴斯基最新研究表明,由于多种漏洞和不安全协议,工控系统安全甚至有恶化倾向。这种暂时的安全状况,唯一的解释就是,网络犯罪者还不能很好地将攻击与利益结合。在勒索攻击盛行的今天,企业数据是攻击者的价值目标,虽然工控系统涉及的有价值数据较少,但如制造业、电站、供水及天然气设施稳定安全的可持续运行,与人们的生活息息相关。前有北美停电事件、Stuxnet事件,近有乌克兰电站被攻击案例,从经济和安全角度来看,都造成了很大程度的损失。

我们开发了第一个针对可编程逻辑控制器(PLC),名为LogicLocker的工控勒索软件,以此探讨工控系统成为勒索软件攻击的可能性。LogicLocker利用施耐德Modicon M241设备的原始API接口,扫描工控系统内部网络的已知安全漏洞设备,如Allen Bradley MicroLogix 1400 PLCs、 Schneider Modicon M221 PLCs,通过感染和绕过方式突破安全机制,锁定设备合法用户,并在程序中设置对物理和人身安全形成威胁的逻辑炸弹,作为赎金勒索之用。我们的主要研究涉及以下几点:

开发了第一个针对工控系统可编程逻辑控制器(PLCs)的勒索软件;

实现了跨供应商PLCs感染蠕虫的概念性证明;

针对传统勒索攻击和ICS勒索攻击进行了详细的经济因素和影响比较;

利用Shodan针对此类受勒索攻击的工控设备进行了在线发现和调查;

作为研究和参考之用,制订了工控系统勒索攻击安全框架。

威胁建模

抛开国家支持黑客和脚本小子的攻击,在该项研究中,我们假设勒索攻击以经济目的为出发点,由有组织网络犯罪组织发起,虽然这些攻击者不具备固件级别的漏洞发现能力,但他们能熟练使用应用层的PLCs入侵能力,可以发现并控制大量工控设备。攻击者通过对PLC代码的修改,可以实现对工控设备的物理破坏,或设置程序逻辑炸弹,触发更严重的安全威胁。

勒索攻击的经济影响评估

对医院的勒索攻击之所以能够成功,是因为医院必须对患者数据的绝对控制和需要;而工控系统同样需要保证其PLC能安全稳定为民众或下游生产商提供服务。

传统勒索攻击VS工控系统勒索攻击

传统攻击造成的经济损失,是由被攻击窃取数据的价值和受害者数量范围共同决定的,攻击者在发起攻击之前会衡量攻击成本和攻击价值。攻击成本越高,意味着目标安全性越高,而获得的勒索价值可能也就越多。这种关系可以用以下等式来表明:

01.jpg

对于勒索攻击来说,工控系统算是数据价值较低且范围相对较小的攻击目标,但其设备停机时间、安全性能和操作人员安全造成的影响,却远远超出通常价值范围,攻击者一样可以利用这些致命要害对工控设备发起勒索攻击。

02.jpg

实验过程

下图所示LogicLocker利用的三种PLCs分别为Schneider Modicon M221、Allen Bradley MicroLogix 1400和Schneider Modicon M241,它们代表了当今比较流行和常用的PLC品牌,但在此我们需要提醒的是,这些品牌在内的大多数PLC设备都不具备合适的可编程验证功能。

222222222222.jpg

而另外一些具有密码验证和PLC编程校验功能的设备,如MicroLogix 1400,一旦被攻击者利用其它方式入侵控制之后,也存在被攻击者设置新密码进行勒索攻击的可能。我们在Shodan上发现大量在线联网的ICS设备:

03.jpg

为了验证ICS勒索攻击的可能性,我们构建了一城市供水模型并模拟勒索攻击的可行性。在水质消毒阶段,自来水内需要加入比例准确的氯粉,而在水量储存阶段,需要对水量进行最低限度用水保障控制。

screen-shot-2017-02-13-at-5.45.40-pm-100708818-large.jpg

04.jpg

勒索攻击解析

对ICS的攻击可以分为初始感染、进一步攻击渗透、设备锁定加密和勒索谈判几个步骤,整个过程如下图所示:

06.jpg

后续相应列表则列出了每个步骤攻击者可以执行的攻击动作。

初始感染阶段

通过感染直接联网的ICS设备,或利用其它攻击方式,入侵目标受害方用户终端电脑系统,最终实现恶意软件或勒索软件的驻留,为后续勒索攻击作好准备:

07.jpg

进一步攻击渗透

通过内网和感染设备的进一步攻击渗透,发现其它存在漏洞的PLC设备和可以利用的脆弱性。攻击者在内部网络的横向渗透:

08.jpg

攻击者在内部网络的纵向渗透:

09.jpg

锁定加密

寻找的可以下手的目标PLC设备之后,攻击就会发起对目标设备的锁定和加密动作:

12.jpg

10.jpg

勒索谈判

一旦成功对PLC设备进行锁定或加密,攻击者就获取了对目标设备的控制权限,就会受害方发起警告提示,以催促支付赎金,这些警告提示方式包括邮件、PLC页面展示:

13.jpg

LogicLocker

在攻击模型中,我们假定攻击者能暴力破解连网的Modicon M241设备并窃取其用户凭据,之后通过感染的LogicLocker扫描内部网络,发现存在漏洞的PLC设备。在锁定阶段,针对Modicon M221和MicroLogix 1400,LogicLocker可以实现重编程、密码重设和合法用户锁定功能; 在加密阶段,攻击者可以利用其它标准加密方法任意加密设备密码和程序;在勒索谈判阶段,攻击者可以使用LogicLocker向受害方PLC设备管理人员发送警告邮件。

在该模型中,如果勒索赎金得到满足,攻击者就会向受害方提供一段设备重置程序以解除勒索,如果谈判失败或受害方拒绝支付赎金,攻击者将会向供水设施中添加过量的对人体造成伤害的化学氯,另外,攻击者还可以通过可编程逻辑控制器(PLC)来篡改水量设备读数或关闭用水水阀,造成公众恐慌。后续版本的LogicLocker软件将增加警告邮件发送客户端,通过该功能,如果勒索成功,攻击者可以向受害方发送程序解锁和重置程序。以下列表总结了LogicLocker可以执行的勒索攻击动作。

14.jpg

安全防护

终端安全防护

实施深度防御策略,包括更改默认密码、禁用不需要的协议、设置访问控制方法、禁用远程可编程功能、保持设备固件更新、备份所有程序文档。针对新购置设备,应该仔细考虑产品安全性能,另外,请注意PLC的密码保护功能仅用来对可编程环境的合法用户进行验证,要避免成为勒索攻击者的勒索手段。

网络安全防护

应该进行网络分段控制和可疑流量监控,另外,还应设置PLC程序自动备份功能,避免在未支付赎金情况下,攻击者发起破坏性攻击造成的影响。当然,还可以对PLC程序引入远程认证技术以监测攻击者对其进行的恶意修改。

安全策略

在用户端,应该加强员工的安全意识培训,提高钓鱼邮件和外插USB的安全防范;同时制订相应的安全应急响应和快速恢复策略,以备攻击事件发生时能快速判断攻击影响状况,及时恢复设备运行。

*参考来源:gatech.eduFB小编clouds编译

未经允许不得转载:安全路透社 » 往水里投毒?解析针对工业控制系统的勒索攻击

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册