0 
0 A empresa de segurança cibernética industrial Otorio informou no início de setembro que um grupo hacktivista pró-Palestina chamado GhostSec havia alegado ter ‘hackeado’ 55 controladores lógicos programáveis (PLCs) da Berghof localizados em Israel. Os hackers publicaram um vídeo mostrando que tinham acesso ao painel de administração do PLC e a uma interface homem-máquina (HMI) associada. Eles também postaram uma captura de tela mostrando que um PLC havia sido interrompido, o que, para alguém que não sabe muito sobre como funcionam os processos industriais, pode indicar que uma interrupção significativa pode ter sido causada.
Aproximadamente uma semana depois, Otorio viu os mesmos hacktivistas recebendo crédito por outro ataque ao ICS israelense, desta vez alegando ser capaz de controlar parâmetros relacionados à segurança da água.
No caso do incidente envolvendo PLCs Berghof, os pesquisadores da empresa de segurança mostraram que é fácil identificar os PLCs expostos à Internet usando o mecanismo de pesquisa Shodan e descobriram que muitos provavelmente podem ser acessados usando credenciais padrão ou comuns. Os pesquisadores determinaram que, embora o painel de administração do CLP comprometido forneça controle total sobre algumas funcionalidades, ele não permite que um usuário controle diretamente o processo industrial.
“É possível afetar o processo até certo ponto, mas a configuração real do processo em si não está disponível apenas no painel de administração”, explicou Otorio.
A empresa também analisou a segunda rodada de reivindicações da GhostSec e descobriu que o ICS relacionado à água estava realmente associado à piscina de um hotel.
Os pesquisadores da Otorio disseram à SecurityWeek que os hacktivistas aparentemente alegaram ter violado um sistema que é mais importante que o HMI de uma piscina de hotel – eles provavelmente pensaram que os parâmetros de pH e cloro estavam associados à água potável. Os especialistas observaram que, sem realizar sua análise, seria difícil dizer que o ICS está associado a um pool.
Por outro lado, com base em suas observações, um invasor pode não apenas monitorar, mas também modificar esses parâmetros, o que pode representar um risco à saúde dos indivíduos que usam o pool.
Embora acreditando que eles tiveram acesso a sistemas que poderiam ser usados para controlar os parâmetros da água potável, os hackers disseram que não alterariam nenhuma configuração para evitar causar danos às pessoas em Israel, pois isso iria contra sua missão e crenças.
A SecurityWeek conversou com vários especialistas de empresas industriais de segurança cibernética para descobrir o que eles pensam sobre a ameaça representada pelos hacktivistas ao ICS. Até onde eles poderiam ir com base em suas habilidades e conhecimentos, e até onde eles iriam ?
É sabido que o ICS é frequentemente exposto à Internet e, em muitos casos, esses sistemas podem ser facilmente acessados por meio de configurações inseguras, vulnerabilidades e ferramentas amplamente disponíveis.
O governo dos EUA emitiu um alerta às organizações sobre os hacktivistas serem capazes de atacar facilmente os sistemas industriais há quase uma década.
Houve vários incidentes aparentemente envolvendo hacktivistas e ICS nos últimos anos. Em 2020, um grupo iraniano acessou sistemas em uma instalação de água em Israel .
Mais recentemente, um grupo chamado ‘Gonjeshke Darande’ assumiu o crédito por causar interrupções no Irã, incluindo forçar uma siderúrgica a interromper a produção e paralisar postos de gasolina em todo o país. Eles alegaram que os ataques foram em resposta à agressão do Irã.
No entanto, no caso de alguns ataques, particularmente como os que atingiram o Irã, alguns especialistas acreditam que podem ser bandeiras falsas – ataques lançados por um ator estatal sob o pretexto de hacktivismo.
Michael Langer, diretor de produtos da Radiflow, apontou que grupos que operam sob interesses políticos ou militares – mesmo que não tenham recursos estatais à sua disposição – não devem ser considerados grupos hacktivistas. Um exemplo é o Gaza Cybergang , que tem sido ligado ao Hamas.
Langer definiu hacktivistas como “pessoas motivadas politicamente, mas principalmente desorganizadas e não patrocinadas/motivadas financeiramente” e “alguém que está procurando uma oportunidade fácil de explorar redes mal protegidas e, portanto, demonstrar ao mundo uma mensagem específica”.
Langer diz que os hacktivistas têm sofisticação cibernética moderada, concentrando-se em dispositivos ICS ou IoT desprotegidos que são expostos à Internet. Eles normalmente contam com portas abertas, ferramentas disponíveis publicamente e normalmente operam por curtos períodos de tempo para atingir um objetivo específico.
“Às vezes, eles provavelmente escolherão seus alvos com base em critérios de facilidade de comprometimento e não necessariamente pela relevância de seus objetivos. Por exemplo, pesquisar no Shodan por alguns dispositivos expostos de um fornecedor específico e tentar credenciais padrão codificadas para estabelecer a presença nesse dispositivo”, explicou Langer.
“A maioria dos alvos provavelmente serão redes distribuídas ou sites que dependem fortemente de acesso remoto (para manutenção, monitoramento de fornecedores, etc), como instalações de água, sistemas de gerenciamento de edifícios, segmentos industriais de redes municipais ou redes SMB (como piscinas, semáforos , restaurantes)”, acrescentou.
O que os hacktivistas poderiam alcançar ao atacar o ICS?
“Embora as atividades cibernéticas hacktivistas possam causar principalmente interrupções localizadas e outros efeitos, como o status atual da segurança cibernética do ICS permanece relativamente ruim, explorar configurações incorretas de dispositivos frequentes, acesso de terceiros não imposto e outras fraquezas básicas de segurança por esses hackers também pode levar a grandes consequências comprometendo a segurança pública”, disse Langer.
David Krivobokov, pesquisador de segurança da Otorio, comentou: “O fato de que os sistemas operacionais de ICS estão conectados diretamente à Internet sem nenhuma medida de segurança adequada, realmente reduz a barreira para esses tipos de ameaças, o que torna mais eficaz explorar a infraestrutura OT em para assustar o público em vez de desfigurar um site. Além disso, o dano potencial para um invasor conectado a um desses sistemas não é menos que catastrófico em muitos casos. Se o objetivo deles é assustar o público, eles estão fazendo exatamente o que eu faria se fosse eles.”
Um aspecto interessante é apontado por Danielle Jablanski, estrategista de segurança cibernética OT da Nozomi Networks.
“Pode haver dissonância cognitiva e compartimentação de atividades que acontecem em campanhas hacktivistas organizadas, onde os indivíduos podem pensar que estão fazendo algo pequeno ou insignificante, mas, na realidade, acaba tendo impactos catastróficos. Isso é intensificado quando se trata de alterar processos físicos e controles para os produtos, serviços e recursos dos quais dependemos para sustentar a vida cotidiana”, explicou Jablanski.
Ela observou que os hackers nos exemplos recentes vistos por Otorio provavelmente não estão familiarizados com o OT.
“Minha preocupação é quando os indivíduos fecharem essa lacuna de conhecimento, quanto mais alavancagem eles terão nesses tipos de atividades. Como indústria, não sabemos o limite exato para a quantidade de dados disponíveis e acesso que levará à ampla exploração dos sistemas de controle de processo”, disse Jablanski.
Ela acrescentou: “Apesar da intenção e das consequências de direcionar o ICS, muitos processos têm contingências e têm métodos de failover para evitar que os piores cenários aconteçam. Eu acho que a capacidade de interromper e degradar o sistema de controle de processo representa um risco social significativo. É realmente uma questão de quando, e não se, ocorrerem mais incidentes de ICS.”
Sharon Brizinov, diretora de pesquisa de segurança da Claroty, observou que, em alguns casos, é suficiente para um ator de ameaça “reivindicar acesso à infraestrutura crítica para ganhar atenção, demonstrar capacidades técnicas e reivindicar algum tipo de vitória política”.
“No entanto, os proprietários e operadores de ativos não devem levar os hacktivistas de ânimo leve. O potencial de interrupção existe dado o tipo de acesso que um grupo pode obter, e não há nada que impeça um hacktivista de se tornar um extorsionário e alegar ter roubado dados ou ameaçar infectar sistemas críticos de TI com ransomware, por exemplo”, disse Brizinov.
Thomas Winston, diretor de conteúdo de inteligência da Dragos, disse que os ataques de hacktivistas ao ICS geralmente são de pequeno alcance – eles podem causar perda temporária de visão e potencialmente perda de controle. No entanto, mesmo um incidente tão temporário ou limitado pode apresentar sérios desafios, por exemplo, às organizações de água e afetar a confiança do público na segurança da água.
Por outro lado, Winston observou: “Sempre há exceções para tudo, mas para alcançar uma extensa interrupção de longo prazo nas operações de estado estacionário da planta, muitas vezes exigirá conhecimento de ICS/OT e acesso a dispositivos ICS/OT não Windows”.
Winston apontou que ataques disruptivos ao ICS exigem recursos significativos, inclusive em termos de dinheiro, pesquisa e pessoal. No entanto, ele disse que é comum ver adversários visando redes corporativas de TI e descobrindo acidentalmente uma rede OT conectada ou mal segmentada.
“Na violação da Kemuri Water Company de 2016, vimos um adversário hacktivista atacar a TI corporativa da Kemuri, explorando vulnerabilidades de TI conhecidas e, ao fazer isso, eles descobriram as credenciais administrativas de OT desprotegidas”, disse Winston.
Ron Fabela, CTO e cofundador da SynSaber, disse que há uma tendência crescente de hacktivistas, cibercriminosos e pesquisadores de fornecedores visando o ICS. Um exemplo recente envolve a gangue de ransomware Cl0p visando a empresa de água South Staffordshire no Reino Unido e alegando ter acesso aos sistemas SCADA.
“As partes interessadas costumam usar ferramentas como Shodan para ‘descobrir’ telas ICS na internet. Essas capturas de tela são postadas on-line para ganhar notoriedade e talvez envergonhar a organização-alvo, mas raramente são executados ou anunciados impactos”, disse Fabela. “Agora, até mesmo as equipes de pesquisa de fornecedores estão fazendo afirmações exageradas sobre vulnerabilidades encontradas em dispositivos ou software ICS para aumentar o tráfego e a atenção, mas não chegam a provar a viabilidade de tal exploração no mundo real.”
Fabela acrescentou: “O que esses exemplos compartilham é a falta de execução da etapa final em um hack ICS: agir em objetivos para interromper o processo. A maioria dos casos de eventos de segurança ‘ICS’ não são na verdade ataques diretos aos próprios sistemas de controle. Seja um grupo que resgata a rede de TI de uma organização de sistema de controle, alguém nas mídias sociais postando telas de IHM por diversão ou o marketing do fornecedor de segurança foi longe demais, universalmente, ninguém quer ser responsável pelo impacto da interrupção real das operações.
“Talvez como resultado dessa ‘linha vermelha’ que poucos, exceto os Estados-nação, estão dispostos a cruzar, as reivindicações tendem a ser exageradas com declarações ridículas de ‘e se’ sobre o impacto que nunca acontece. Embora seja quase impossível determinar a intenção exata de um adversário, nós, na comunidade, esperamos que o aumento do interesse na segurança do sistema de controle industrial continue a não interromper o processo.”
O que as organizações devem fazer?
“Esses ataques podem ser facilmente mitigados protegendo o acesso à Internet, fortalecendo os mecanismos de autenticação, realizando o monitoramento básico de segurança do ICS por um MSSP escolhido, reforçando a higiene básica da segurança cibernética, etc”, disse Langer.
“As empresas devem se preparar para isso e para ameaças mais substanciais, realizando avaliações regulares de riscos cibernéticos não apenas em redes de TI, mas também por meio de segmentos de OT, levando em consideração a importância real dos negócios e do meio ambiente”, acrescentou.
FONTE: SECURITYWEEK