LogicLocker - Википедия - LogicLocker
LogicLocker, является кросс-поставщиком программа-вымогатель червь, нацеленный Программируемые логические контроллеры (ПЛК), используемые в Промышленные системы управления (ICS).[1] Впервые описано в исследовательской статье, опубликованной Технологическим институтом Джорджии,[2][1] вредоносная программа способна захватить несколько ПЛК различных популярных производителей. Исследователи, используя модель водоочистной установки, смогли продемонстрировать способность отображать ложные показания, закрывать клапаны и изменять выброс хлора до ядовитых уровней, используя Schneider Modicon M241, Schneider Modicon M221 и ПЛК Allen Bradley MicroLogix 1400. Программа-вымогатель предназначена для обхода слабых механизмов аутентификации, обнаруженных в различных ПЛК, и блокировки законных пользователей при установке логическая бомба в ПЛК. По состоянию на 14 февраля 2017 г. отмечается, что существует более 1400 таких же ПЛК, которые использовались в проверочной атаке, которые были доступны из Интернета, как было обнаружено с использованием Shodan.[3][4][5][2]
Метод атаки
Метод атаки, используемый с LogicLocker, включает пять этапов. Первоначальное заражение, горизонтальное и вертикальное перемещение, блокировка, шифрование и согласование. Первоначальное заражение может происходить с помощью различных эксплойтов уязвимостей. Поскольку устройства ICS обычно находятся в постоянном включенном состоянии, это дает киберпреступникам достаточно времени, чтобы попытаться взломать ПЛК. ПЛК обычно не имеют надежных механизмов аутентификации, чтобы защитить себя от потенциальной атаки.[1] Первоначальное заражение могло произойти, если пользователь щелкнул потенциально вредоносное вложение электронной почты.[1][2] При первоначальном заражении ПЛК может быть достигнуто горизонтальное или вертикальное перемещение от ПЛК к корпоративной сети в зависимости от возможностей ПЛК. Следующим этапом атаки является блокировка, при которой злоумышленник блокирует законных пользователей, чтобы заблокировать или предотвратить попытки восстановления. Это можно сделать путем смены пароля, блокировки OEM, чрезмерного использования ресурсов ПЛК или изменения IP / портов. Эти разные методы блокировки предлагают разную степень успеха и сильные стороны. Для дальнейшего обеспечения успешной атаки используется шифрование, чтобы следовать традиционным методам крипто-вымогательства для будущих переговоров. Наконец, между злоумышленником и жертвой ведутся переговоры о восстановлении услуги. Некоторые ПЛК содержат возможность электронной почты, которую можно использовать для отправки сообщения с требованием выкупа, как это было в случае с ПЛК MicroLogix 1400, использованным при проверке концепции атаки.[1][4]
Стратегии защиты
Чтобы помочь в защите и усилиях по снижению уязвимости, можно использовать несколько стратегий.
Безопасность конечных точек
Безопасность конечных точек такие методы, как смена пароля, отключение неиспользуемых портов и протоколов и реализация Списки контроля доступа (ACL), следует использовать правильное резервное копирование и обновления прошивки. Это может значительно снизить поверхность атак представленных киберпреступников.[1]
Сетевая безопасность
Для выявления отклонений следует использовать усиленный и бдительный мониторинг сети. Внесение протоколов в белый список брандмауэров, сегментация сети и автоматическое резервное копирование могут обеспечить дополнительную безопасность и сократить время восстановления при условии, что резервные копии не будут скомпрометированы в результате атаки.[1]
Политика
Обучение сотрудников правильной идентификации фишинг электронные письма, запрет на использование USB-устройств и включение всеобъемлющего плана реагирования на инциденты, чтобы помочь в противодействии этой угрозе.[1]
Смотрите также
Рекомендации
- ^ а б c d е ж грамм час Формби, Д., Дурбха, С., и Бейях, Р. (нет данных). Из-под контроля: программы-вымогатели для промышленных систем управления. Получено с http://www.cap.gatech.edu/plcransomware.pdf
- ^ а б c "Эксперимент с вредоносным ПО указывает на то, что фабрики используются для выкупа".
- ^ 03:02, 15 фев 2017 в; tweet_btn (), Ричард Чиргвин. "Встречайте LogicLocker: вымогатель SCADA, созданный Boffin". Получено 2017-02-20.CS1 maint: числовые имена: список авторов (связь)
- ^ а б «Доказательная программа-вымогатель блокирует ПЛК, управляющие электростанциями». Боинг Боинг. 2017-02-14. Получено 2017-02-20.
- ^ Ханделвал, Свати. «Эта вредоносная программа-вымогатель может отравить вашу систему водоснабжения, если не будет оплачена». Хакерские новости. Получено 2017-02-20.