PLC-Blaster: بدافزاری برای نفوذ به تجهیزات کنترل صنعتی
به گزارش شرکت مهندسی شبکه گستر، یکی از محققان شرکت OpenSource Security در گردهمایی 2016 Black Hat USA با ارائه نمونه بدافزاری از نوع کرم (Worm)، نحوه سوءاستفاده از آسیب پذیری های موجود در تجهیزات PLC را تشریح کرد.
این نمونه بدافزار با عنوان PLC-Blaster که برای اثبات مفهموم (Proof of Concept) طراحی شده است دستگاه های SIMATIC S7-1200 ساخت شرکت Siemens را هدف قرار می دهد.
در ماه مارس و در گردهمایی Black Hat Asia پس از آنکه محققان شرکت OpenSource Security مقاله ای با عنوان “PLC-Blaster: A Worm Living Solely in the PLC” را ارائه کردند شرکت Siemens اعلام کرد که بدافزار PLC-Blaster از هیچ ضعفی در محصولات این شرکت بهره جویی نکرده است.
روز پنجشنبه، 14 مرداد ماه، در Black Hat USA، محقق OpenSource Security نشان داد چطور یک مهاجم با دسترسی فیزیکی یا شبکه ای به PLC امکان آلوده کردن دستگاه به بدافزار و اجرای حمله را بدست می آورد.
کرم می تواند بنحوی طراحی شود که چندین نوع حمله را اجرا کند. همچنین دستگاه PLC آلوده شده – با فرض اینکه دستگاه به اینترنت دسترسی داشته باشد – می تواند بنحوی دستکاری شود که به صورت خودکار با سرور فرماندهی مهاجم ارتباط برقرار کرده و از راه دور کنترل شود.
موفقت کرم در نتیجه ضعف های طراحی PLC ساخت شرکت Siemens است که امکان حمله از طریق کنسول مدیریتی PLC موسوم به TIA Portal را فراهم می کند. تجهیزات Siemens دارای دو قابلیت حفاظتی با عناوین Knowhow Protection و Copy Protection هستند. عدم حفاظت یکپارچگی، مهاجم را قادر می کند که بخش های کد مربوط به درهم ساز (Hash) گذرواژه ها و شماره های سریال را بخواند، بنویسد و دستکاری کند. با این کار درگاهی برای عبور از حفاظت های TIA Portal باز شده و PLC-Blaster آپلود می شود.
قابلیت Knowhow Protection از ویرایش برنامه توسط کاربر و همینطور اجرای برنامه توسط او از روی PLC جلوگیری می کند. اما OpenSource Security گفته که توانسته است راهی برای اجرای کد کاربر، نمایش Source Code، ویرایش آن و نصب مجدد برنامه پیدا کند.
البته امکان Siemens Access Protection پودمان های انتقال نرم افزار – در اینجا کرم – را به PLC مسدود می کند. با فعال بودن این امکان نیاز است که کاربران گذرواژه دیگری را برای آپلود نرم افزار وارد کنند. محققان OpenSource Security گفته اند که ضعفی را در این بخش مشاهده نکرده اند. اما مشکل اینجاست که این لایه حفاظتی بصورت پیش فرض غیرفعال است.
به گزارش شرکت مهندسی شبکه گستر به نقل از سایت Threatpost، زمانی که OpenSource Security یافته هایش را به شرکت Siemens ارائه کرد این شرکت وجود آسیب پذیری در بسترهای PLC مبتنی بر SIMATIC S7-1200 را رد کرد.
البته در توصیه نامه ای که ماه مارس شرکت Siemens منتشر کرد، به ضعفی امنیتی با شناسه CVE-2016-2846 اشاره شده بود که بر طبق توضیحات توصیه نامه در نسخه های 4 و بالاتر SIMATIC S7-1200 CPU ترمیم شده است. در توصیه نامه مذکور از محققان شرکت OpenSource Security قدردانی شده بود.
موضوع سوءاستفاده از تجهیزات PLC پس از شناسایی جنگ افزار Stuxnet بسیار مورد توجه محققان امنیتی قرار گرفت.
البته محقق PLC-Blaster گفته که این نوع آسیب پذیری مختص Siemens نیست و تمامی شرکت های کنترل صنعتی در طی 30 سال گذشته با همین رویکرد محصولات خود را ارائه کرده اند.
