Nemrég hozták nyilvánosságra, hogy kibertámadás érte a Dél-koreai Nukleáris Kutatóközpont (KAERI) rendszereit. A támadókat, (akiket természetesen ezúttal sem lehet minden kétséget kizárólag azonosítani) az incidens műszaki részleteinek ismeretében az Észak-koreai APT-csoportokhoz kapcsolhatónak tartják.

Felmerülhet a kérdés, hogy egy kutatóintézet elleni támadás miért érdemel külön posztot egy ICS biztonságra koncentráló blogon, de úgy gondolom, hogy nem igényel túl sok magyarázatot az, hogy az atomerőművek miért is az egyik (ha nem a) legkritikusabb komponensei az egyébként is a "legkritikusabb kritikus infrastruktúra" megnevezéssel is illetett villamosenergia-rendszernek.

Az első elemzések után napvilágot látott részletek alapján jelenleg úgy tűnik, hogy a támadók a korábban több gyártó (Juniper, Dell/SonicWall, Fortinet, Citrix) VPN-megoldásaiban talált sérülékenységeket kihasználva jutottak be a KAERI rendszereibe.

Az évek során számtalanszor írtam (és a kommentek között beszéltünk is) arról, hogy érthető módon az OT rendszerek és hálózatok esetében a feltárt (és publikált) sérülékenységek javítása nem a legfontosabb, de az OT hálózatokhoz Internet irányból hozzáféréseket biztosító IT rendszerek és komponensek esetén úgy gondolom, hogy még az átlagos nagyvállalati IT rendszerekénél is sokkal szigorúbb és gyorsabb(!) patch-menedzsment eljárásokat kéne alkalmazni.

Sérülékenységek Automation Direct PLC-kben

Irfan Ahmed és Adeen Ayub, a Virginia Nemzetközösségi Egyetem és Hyunguk Yoo, a New Orleans-i Egyetem munkatársai 5 sérülékenységet jelentettek az Automation Direct-nek, amiket az alábbi termékeikben találtak:

- CLICK PLC CPU modulok C0-1x CPU-inak minden, v3.00-nál korábbi firmware-verziói.

A gyártó a hibákat a 3.00-ás firmware-verzióban javította. A sérülékenységekről további információkat az ICS-CERT publikációja tartalmaz: https://us-cert.cisa.gov/ics/advisories/icsa-21-166-02

ThroughTek rendszerek sérülékenységei

A Nozomi Networks munkatársai egy sérülékenységet azonosítottak a ThroughTek P2P Software Development Kit alábbi verzióiban:

- 3.1.5 és korábbi verziók;
- nossl tag-gel rendelkező SDK verziók;
- azok a firmware-ek, amik nem használnak AuthKey-t az IOTC kapcsolatokhoz;
- azok a firmwarek-ek, amik az AVAPI modult DTLS nélkül használják;
- P2PTunnel-t vagy RDT modult használó firmware-ek.

A gyártó hibával kacsolatos ajánlásait és a sérülékenységgel kacsolatos további részleteket az ICS-CERT bejelentésében lehet megtalálni: https://us-cert.cisa.gov/ics/advisories/icsa-21-166-01

Sérülékenységek Advantech WebAccess/SCADA rendszerekben

Chizuru Toyama, a TXOne IoT/ICS Security Research Labs munkatársa, a ZDI-vel együttműködve két sérülékenységet jelentett a DHS CISA-nak, amiket az Advantech WebAccess/SCADA 9.0.1 és korábbi verzióiban talált.

A gyártó jelenleg is dolgozik a hibákat javító újabb verzión. A sérülékenységekkel kapcsolatosan részletek az ICS-CERT weboldalán érhetőek el: https://us-cert.cisa.gov/ics/advisories/icsa-21-168-03

Softing SDK sérülékenység

Eran Jacob, az OTORIO munkatársa egy sérülékenységről tájékoztatta a DHS CISA-t, ami a Softing OPC UA C++ SDK 5.59-től 5.64-ig terjedő verzióit érinti.

A gyártó a hibát az 5.65-ös verzióban javította. A sérülékenység részleteiről az iCS-CERT publikációjában lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-168-02

A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

2021 nem az USA viziközmű cégeinek legjobb éveként fogja beírni magát a történelemkönyvekbe, már ami ezeknek a cégeknek az ICS rendszereit ért kibertámadásokat illeti. Február elején a floridai Oldsmar vízművének ICS rendszereit érte támadás, pénteken pedig egy kaliforniai viziközmű cég ICS rendszerei elleni, még januárban történt támadásról hoztak nyilvánosságra információkat.

Az eddig megismert részletek alapján nagyon úgy tűnik, hogy az Oldsmar-i esethez hasonlóan ebben az esetben is egy TeamView-er-elérést és egy, a cégnél már nem dolgozó korábbi munkatárs felhasználónevét és jelszavát használta fel a támadó. Szintén hasonló az eset az Oldsmar-i incidenshez abból a szempontból is, hogy a támadó ebben az esetben is módosította az ivóvízhez adagolt nátrium-hidroxid mennyiségét.

Lévén ez az incidens nagyon rövid idő alatt (gyakorlatilag 2-3 héten belül) a második (illetve kronológiailag ugye az első) volt az USA viziközmű vállalataival kapcsolatban, nagyon kíváncsi leszek, hogy az amerikai (szövetségi) döntéshozók mikor fognak valami NERC CIP-hez hasonló szabályozást hozni a viziközmű szektor cégeire vonatkozóan is.

A Kamacite nevet a Dragos adta annak a csoportnak, ami feltételezéseik szerint kapcsolatba hozható (bizonyos szempontból átfedéseket mutat) a Sandworm néven elhíresült csoporttal, akiket többek között a 2015-ös és 2016-os ukrán villamosenergia-szektor elleni támadásokkal, valamint a Dél-koreai téli olimpiai játékok rendszerei és az USA-ban a Demokrata Párt 2016-os elnökválasztási kampánya és a DNC (a Demokrata Párt Nemzeti Kongresszusa) elleni támadásokkal.

A Dragos elemzése szerint a Kamacite néven hivatkozott csoport jó eséllyel egy több csoportból álló szervezet egyik része lehet és a szervezeten belül a célba vett ipari szervezetek rendszereiben történő kezdeti hozzáférések megszerzésére specializálódtak, főként adathalász és felhasználói adatok visszajátszása (credential replay) módszerek valamint egyedi malware-ek alkalmazásával, ezeket a hozzáféréseket pedig később átadják a szervezetükhöz tartozó más csoport(ok)nak, akik már kifejezetten az ICS rendszerek és az általuk felügyelt és irányított folyamatok megzavarásában érdekeltek.

A csoportról készített Dragos elemzés itt érhető el.

Siemens Simcenter Femap sérülékenységek

A ZDI két sérülékenységről osztott meg információkat a Siemens-szel, amiket a Simcenter Femap nevű termékük alábbi verzióiban találtak:

Simcenter Femap 2020.2 minden, V2020.2.MP3-nál korábbi verziója;
Simcenter Femap 2021.1 minden, V2021.1.MP3-nál korábbi verziója.

A gyártó a hibát az érintett termékek újabb verzióiban javította. A sérülékenységek részleteiről a Siemens ProductCERT publikációjában lehet olvasni.

NTP sérülékenységek Siemens SIMATIC NET rendszerekben

A Siemens ProductCERT bejelentése szerint korábban felfedezett NTP-sérülékenységek (szám szerint 15 sérülékenység) érintik a SIMATIC NET CP 443-1 OPC UA nevű termékük minden verzióját.

A gyártó a hibával kapcsolatban kockázatcsökkentő intézkedések alkalmazását javasolja. A sérülékenységekkel kapcsolatban további információkat a Siemens ProductCERT bejelentésében lehet találni.

Sérülékenység Siemens rendszerekben

A ZDI segítségével a Siemens egy sérülékenységet azonosított az alábbi termékeikben:

- JT2Go minden, V13.1.0.3-nál korábbi verziói;
- Teamcenter Visualization minden, V13.1.0.3-nál korábbi verziói.

A gyártó a hibát a V13.1.0.3-as és későbbi verziókban javította. A sérülékenységről bővebben az Siemens ProductCERT weboldalán lehet olvasni.

Rockwell Automation FactoryTalk sérülékenység

A Rockwell Automation egy sérülékenységről tájékoztatta a DHS CISA-t, ami a FactoryTalk nevű platformjuk v6.11-es és korábbi verzióit érinti.

A gyártó a hibát a v6.20-as és későbbi verziókban javította és kockázatcsökkentő intézkedések bevezetését javasolja. A sérülékenységgel kapcsolatos bővebb információk az ICS-CERT publikációjában érhetőek el: https://us-cert.cisa.gov/ics/advisories/icsa-21-161-01

Sérülékenységek AGG Web Server-ekben

Michael Heinzl két sérülékenységet jelentett a DHS CISA-nak, amit az AGG Software Web Server termékének v4.0.40.1014-es és korábbi verzióiban talált.

A gyártó a hibával kapcsolatban a 4.0.42 Build 512-re vagy későbbi verzióra történő frissítést javasolja. A sérülékenységekről további részleteket az ICS-CERT bejelentése tartalmaz: https://us-cert.cisa.gov/ics/advisories/icsa-21-161-02

ZOLL defibrillátorok sérülékenységei

Egy névtelenségét őrző biztonsági kutató fél tucat sérülékenységről osztott meg információkat a DHS CISA-val, amiket a ZOLL Defibrillator Dashboard 2.2-esnél korábbi verzióiban talált.

A gyártó a hibákat a 2.2-es és újabb verziókban javította. A sérülékenységekről bővebben az ICS-CERT weboldalán lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsma-21-161-01

Sérülékenység Schneider Electric Enerlin'X Com’X 510 eszközökben

Maxim Rupp egy sérülékenységet azonosított a Schneider Electric Enerlin’X Com’X eszközeinek V6.8.4-esnél korábbi verzióiban.

A gyártó a hibát a V6.8.4-es verzióban javította. A sérülékenységről bővebb információkat a Schneider Electric publikációja tartalmaz.

ISaGRAF sérülékenységek Schneider Electric IEC 61131-3 fejlesztő és tervező eszközökben

A Schneider Electric bejelentése szerint az alábbi termékeiket érintik a Rockwell Automation által publikált ISaGRAF sérülékenységek:

Easergy T300 V2.7.1 és korábbi verziói;
Easergy C5 1.0.x-nél korábbi verziói beágyazott ISaGRAF 5.2 és korábbi verziókkal;
MiCOM C264 D6.x-nél korábbi verziói beágyazott ISaGRAF 5.2 és korábbi verziókkal;
Minden, ISaGRAF 5.2 és korábbi verzióval telepített alábbi gateway-ek:
Windows:
− PACiS GTW 5.1
− PACiS GTW 5.2
− PACiS GTW 6.1
− PACiS GTW 6.3
− EPAS GTW 6.4
Linux:
− PACiS GTW 6.3
− EPAS GTW 6.4
- Saitel DP 11.06.21 és korábbi verziói;
- Saitel DR 11.06.12 és korábbi verziói;
- SCADAPack E 8.18.1 és korábbi firmware-verziói;
- SCADAPack Workbench 6.6.8 és korábbi verziói;
- SCD2200 10024-es és korábbi verziói;
- SAGE RTU
− C3414 CPU összes firmware-verziója;
− C3413 CPU összes firmware-verziója;
− C3412 CPU összes firmware-verziója.

A sérülékenységekkel kapcsolatos részleteket a Schneider Electric bejelentésében lehet találni.

Sérülékenységek Schneider Electric PowerLogic termékekben

Jacob Baines, a Dragos munkatársa 6 sérülékenységet talált, amik a Schneider Electric alábbi termékeit érintik:

- PowerLogic EGX100 minden verziója;
- PowerLogic EGX300 minden verziója;

A PowerLogic EGX100-as és EGX300-as termékek már elérték életciklusuk végét, így javítás sem várható a hibákkal kapcsolatban. A sérülékenységről bővebb információk a Schneider Electric weboldalán találhatóak.

Schneider Electric PowerLogic sérülékenységek

Ugyancsak Jacob Baines talált két sérülékenységet a PowerLogic termékcsalád alábbi tagjaiban:

- PM5560 V2.7.8-asnál korábbi verziói;
- PM5561 V10.7.3-nál korábbi verziói;
- PM5562 V2.5.4 és korábbi verziói;
- PM5563 2.7.8-nál korábbi verziói;
- PM8ECC minden verziója.

A gyártó a hibákat az érintett termékek újabb verzióiban javította (kivéve a PM5562 típusú berendezéseket, amikhez jelenleg is dolgoznak a javításon). A sérülékenységekkel kapcsolatban további információkat a Schneider Electric publikációja tartalmaz.

Siemens SIMATIC RFID olvasók sérülékenysége

A Siemens ProductCERT bejelentése szerint az alábbi termékeikben található hibát kihasználva össze lehet omlasztani az érintett berendezéseken futó OPC UA szolgáltatást:

- SIMATIC RF166C minden, V1.1-nél újabb és V1.3.2 korábbi verziója;
- SIMATIC RF185C minden, V1.1-nél újabb és V1.3.2 korábbi verziója;
- SIMATIC RF186C minden, V1.1-nél újabb és V1.3.2 korábbi verziója;
- SIMATIC RF186CI minden, V1.1-nél újabb és V1.3.2 korábbi verziója;
- SIMATIC RF188C minden, V1.1-nél újabb és V1.3.2 korábbi verziója;
- SIMATIC RF188CI minden, V1.1-nél újabb és V1.3.2 korábbi verziója;
- SIMATIC RF360R minden verziója>
- SIMATIC RF615R minden, V3.0-nál korábbi verziója;
- SIMATIC RF680R minden, V3.0-nál korábbi verziója;
- SIMATIC RF685R minden, V3.0-nál korábbi verziója.

A gyártó a hibát egyes érintett termékeinek V1.3.2-es verziójában javította. A sérülékenység részleteiről a Siemens ProductCERT bejelentéséből lehet tájékozódni.

A sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Az elmúlt időszakban ugye több nagy visszhangot keltett ransomware-támadás is történt (Colonial Pipeline, JBS), a mai posztban ezekkel kapcsolatos friss híreket és többféle forrásból származó, kifejezetten zsarolóvírus-támadások elleni védekezéshez használható tanácsokat gyűjtöttem össze.

Egy hete érkeztek részletek arról, hogyan tudták a támadók kompromittálni a Colonial Pipeline rendszereit. A jelek szerint ahhoz az incidenshez, aminek következtében az USA keleti felén mindenhol (repülőterektől a különböző méretű benzinkutakig) zavarokat okozott az üzemanyag-ellátásban, egyetlen, hanyagul kezelt/megválasztott jelszó kiszivárgására vezetett, persze azzal a kiegészítéssel, hogy ez a jelszó egy felhasználó (két- vagy többfaktoros authentikációt nélkülöző, kizárólag felhasználónévre és a kompromittált jelszóra építő) VPN-hozzáféréséhez tartozott. A VPN-felhasználó ráadásul már nem is volt aktív használatban, tehát tisztán látható, hogy a Colonial Pipeline számos alapvető biztonsági ökölszabályt hagyott figyelmen kívül. A FireEye/Mandiant vizsgálatának további részleteit a Bloomberg cikkében lehet olvasni.

 Aztán a hét közepén jött hír, ami szerint az FBI legalább részben sikerrel járt a Colonial Pipeline által kifizetett 4,4 millió amerikai dolláros váltságdíj egy részének visszaszerzésére indított akciójában. Hogy ez pontosan hogyan is volt lehetséges a konkrét esetben, azt a Sophos IT biztonsági cég Naked Security blogján foglalták össze.

A JBS élelmiszeripari multi elleni támadásról is sokfelé írtak (én éppen itt), ezzel az incidenssel kapcsolatban szintén az FBI munkatársai nyilatkozták szerdán, hogy információik szerint a támadás hátterében a REvil (más néven Sodinokibi) kiberbűnözői csoport állhat. A REvil-t számos biztonsági kutató orosz hátterű csoportnak tartja, főleg abból kiindulva, hogy orosz célpontokat nem támadnak, így pedig az orosz hatóságok nem üldözik őket.

Szerdán jött a hír, miszert a JBS 11 millió amerikai dollárt kifizetett a támadók által követelt 22,5 millió dolláros váltságdíjból - erről a SecurityAffairs írt.

Közben a JBS vezetői azt nyilatkozták, hogy várható csütörtökre helyreáll(t) az USA-beli üzemeik működése és ismét teljes kapacitással tudnak termelni.

Az ipari szervezetek elleni ransomware-támadások növekvő súlyát mutatja, hogy pár nap alatt két, ransomware-ek elleni módszereket részletező publikációt is elém sodort az RSS olvasóm.

A medium.com cikkében végigveszi a a jellemző ransomware-es támadási formákat, bemutatja a kriptovaluták előnyeit és hátrányait és a NIST ajánlásai alapján bemutatja milyen költséghatékony hardening eljárásokkal lehet védekezni a zsarolóvírus-támadások ellen.

Míg a medium.com cikke általános tanácsokat fogalmaz meg, amit nem csak OT, hanem gyakorlatilag bármelyik IT rendszer esetén is sikerrel lehet alkalmazni, a Dragos ransomware-ek elleni védelemről szóló publikációja kifejezetten az OT környezetekben alkalmazható védelmi intézkedéseket veszi sorra.

Siemens SIMATIC TIM rendszerek sérülékenységei

A Siemens két sérülékenységet jelentett a DHS CISA-nak, ami az alábbi rendszereikben használt, harmadik féltől származó libcurl komponenst érintik:

- SIMATIC TIM 1531 IRC (beleértve a SIPLUS NET változatokat is) minden v2.2-nél korábbi verziója.

A gyártó a hibákat a v2.2-es és újabb verziókban javította. A sérülékenységekről további részleteket a Siemens ProductCERT és az ICS-CERT publikációi tartalmaznak.

Ugyanezt a terméket és ezeket a verziókat érinti az a DoS-támadásokat lehetővé tevő hiba, amit szintén a Siemens talált saját termékében és ugyancsak a v2.2 és újabb verziókban javítottak. Erről a sérülékenységről szintén a Siemens ProductCERT és az ICS-CERT weboldalain írnak.

Sérülékenység Siemens Mendix SAML modulokban

A Siemens egy sérülékenységet talált a Mendix nevű termékük SAML moduljának 2.1.2-t megelőző verzióiban.

A gyártó a hibát a 2.1.2-es és újabb verziókban javította. A sérülékenység részleteiről a Siemens ProductCERT és az ICS-CERT bejelentéseiben lehet olvasni.

Siemens Solid Edge sérülékenységek

A Garmin, a ZDI-vel együttműködve két sérülékenységet jelentett a Siemens-nek, amiket a Solid Edge szoftvereszközök alábbi verzióiban fedeztek fel:

- Solid Edge SE2020 minden, 2020MP14-nél korábbi verzió;
- Solid Edge SE2021 minden, SE2021MP5-nél korábbi verzió.

A gyártó a hibákat az érintett szoftverek újabb verzióiban javította. A sérülékenységekkel kapcsolatos bővebb információkat a Siemens ProductCERT és az ICS-CERT weboldalai lehet elérni.

Sérülékenységek Hillrom orvostechnikai rendszerekben

Itamar Cohen-Matalon, a Medigate Reserach Labs munkatársa két sérülékenységet jelentett a Hillrom-nak, ami gyártó alábbi megoldásai érintik:

- Welch Allyn Service Tool v1.10-nél korábbi verziói;
- Welch Allyn Connex Device Integration Suite – Network Connectivity Engine (NCE) v5.3-nál korábbi verziói;
- Welch Allyn Software Development Kit (SDK) v3.2-nél korábbi verziói;
- Welch Allyn Connex Central Station (CS) v1.8.6-nál korábbi verziói;
- Welch Allyn Service Monitor v1.7.0.0-nál korábbi verziói;
- Welch Allyn Connex Vital Signs Monitor (CVSM) v2.43.02-nél korábbi verziói;
- Welch Allyn Connex Integrated Wall System (CIWS) v2.43.02-nél korábbi verziói;
- Welch Allyn Connex Spot Monitor (CSM) v1.52-nél korábbi verziói;
- Welch Allyn Spot Vital Signs 4400 Device (Spot 4400)/Welch Allyn Spot 4400 Vital Signs Extended Care Device v1.11.00-nál korábbi verziói.

A gyártó a hibákat az érintett termékek legújabb verzióiban elérhetővé tette (két termék esetében 2021. nyarán illetve őszén fogja ezt megtenni). A sérülékenység részleteit az ICS-CERT publikációja tartalmazza: https://us-cert.cisa.gov/ics/advisories/icsma-21-152-01

Advantech iView sérülékenységek

Selim Enes Karaduman a ZDI-vel együtt dolgozva jelentett két sérülékenységet a DHS CISA-nak, amiket az Advantech iView v5.7.03.6182-nél korábbi verzióiban talált.

A gyártó a hibákat a v5.7.03.6182-es verzióban javította. A sérülékenységekről bővebben az ICS-CERT bejelentésében lehet lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-154-01

Sérülékenység Thales rendszerekben

Egy névtelenségét őrző kutató egy sérülékenységet jelentett a DHS CISA-nak a Thales Sentinel LDK Run-Time Environment nevű megoldásának 7.6-os és korábbi verzióival kapcsolatban.

A gyártó a hibát a 8.15-ös és későbbi verziókban javította. A sérülékenységgel kapcsolatban további információkat az ICS-CERT weboldalán lehet találni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-06

Schneider Electric Modicon sérülékenység

Chizuru Toyama, a TrendMicro TXOne IoT/ICS Security Research Labs munkatársa egy sérülékenységet jelentett a DHS CISA-nak, amit a Schneider Electric Modicon X80 BMXNOR0200H típusú RTU-inak SV1.70 IR22 és korábbi verzióiban talált.

A hibával kapcsolatban a gyártó kockázatcsökkentő intézkedések alkalmazását javasolja. A sérülékenységről további részleteket az ICS-CERT publikációjában lehet elérni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-05

Schneider Electric IGSS sérülékenységek

Kimiya, a ZDI-vel együttműködve és tőlük függetlenül Michael Heinzl 13 sérülékenységet jelentettek a DHS CISA-ank a Schneider Electric IGSS v15.0.0.21140-es és korábbi verzióiban.

A gyártó a hibákat az IGSS 15.0.0.21141-es verziójában javította. A sérülékenységekről bővebb információkat az ICS-CERT bejelentésében lehet megtalálni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-04

Sérülékenység AVEVA InTouch rendszerekben

Ilya Karpov, Evgeniy Druzhinin és Konstantin Kondratev, a Rostelecom-Solar munkatársai egy sérülékenységet találtak az AVEVA InTouch 2020R2 és korábbi verzióiban.

A gyártó a hibát javító patch-eket és újabb verziókat már elérhetővé tette. A sérülékenységgel kapcsolatos további információkat az ICS-CERT weboldalán lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-03

Open Design Alliance Drawings SDK sérülékenységek

Mat Powell és Brian Gorenc, a ZDI munkatársai 8 sérülékenységet jelentettek DHS CISA-nak, ami az Open Design Alliance alábbi szoftvereit érinti:

- Drawings SDK minden, 2022.4-nél korábbi verziója;
- Drawing SDK 2022.4-es verzióját a nyolc sérülékenységből kettő érinti.

A gyártó a hibákkal kapcsolatban a 2022.5-ös és újabb verziókban javította. A sérülékenységek részleteit az ICS-CERT publikációjában lehet elérni: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-02

Sérülékenység Johnson Controls rendszerekben

Jakub Palaczynski egy sérülékenységet jelentett a Johnson Controls-nak, ami a gyártó Metasys nevű épületautomatizálási termékének minden verzióját érinti.

A gyártó a még támogatott verziókhoz (9.0, 10.0, 10.1, 11.0) kiadta a hibát javító patch-eket. A sérülékenység részletei az ICS-CERT bejelentésében találhatóak meg: https://us-cert.cisa.gov/ics/advisories/icsa-21-159-01

Moxa NPort berendezések sérülékenységei

Konstantin Kondratev, Evgeniy Druzhinin és Ilya Karpov, a Rostelecom-Solar munkatársai 4 sérülékenységet találtak a Moxa NPort IAW5000A-I/O sorozatú eszközeinek 2.2 és korábbi verzióiban.

A gyártó a hibát javító új verziót már elérhetővé tette. A sérülékenységgel kapcsolatban további részleteket a Moxa weboldalán lehet megtalálni.

A fenti sérülékenységek negatív hatásainak csökkentése érdekében az ICS-CERT az alábbi kockázatcsökkentő intézkedések bevezetését javasolja:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

Hiába foglalkozom már lassan egy évtizede különböző ICS/SCADA rendszerek kiberbiztonságával (na jó, igazából 2011-ben még csak elkezdtem ismerkedni a témával és csak 2013-2014 körül kezdtem igazán mélyebben foglalkozni ezzel a területtel), de még mindig meg tud lepni, hány újabb és újabb iparág esetén kell nekem személy szerint is rádöbbennem, hogy bizony ott is alkalmaznak különböző folyamatvezérlő rendszereket és hogy ezeknek a kiberbiztonsági kockázataival pont ugyanúgy nem foglalkoznak, ahogy 8-10 éve még nem foglalkoztak a villamosenergia-szektor ICS-einek biztonságával vagy petrolkémiai cégek folyamatirányító rendszereinek biztonságával és a sort még folytathatnánk. Néhány hónapja már a listámon volt az élelmiszeripari ICS rendszerek biztonságával foglalkozó poszt ötlete, aztán a JBS elleni kibertámadás rámutatott, hogy nincs több időm ennek a posztnak a megírására (ez még akkor is így van, ha az eddig megismert részletek alapján a JBS elleni támadás valószínűleg nem érintette a termelésirányítási rendszereiket, "csak" a nagyvállalati IT egyes rendszereit, mégis, a cég egyes telephelyein egész műszakokra leállt a munka).

Az élelmiszeripari cégek mérete nagyon változatos lehet, a kicsi, háztáji cégektől a JBS-méretű multikig, de a legtöbb ilyen vállalat ma már bizonyos szintű automatizálással oldja meg a termelést, így itt is régóta jelen vannak a különböző PLC-k és egyéb vezérlők, amiknek a felügyeletéhez más iparágakhoz hasonlóan HMI-okat és mérnöki munkaállomásokat használnak. Nem különböznek ezek olyan nagy mértékben azoktól a rendszerektől, amiket például az autógyártó cégek használnak, mégis a jelek szerint minden egyes iparágban újra és újra rá kell döbbeni, hogy bizony a folyamatautomatizáláshoz használt ICS rendszerek és berendezések kiberbiztonsági kihívásaitól az éppen vizsgált iparág sem mentes.

Mi lehet akkor mégis az oka annak, hogy majdnem minden iparágnak kell egy saját incidens, ami az okosabb cégek, mérnökök és menedzserek szemét felnyitja, hogy bizony ideje elkezdeniük kidolgozni a saját OT biztonsági programjukat? Valószínűleg az lehet a háttérben itt is, hogy azok a mérnökök, akik az adott iparág automatizált folyamatait tervezik és építik, ugyanolyan vagy nagyon hasonló környezetben szocializálódnak szakmailag és azok az idősebb mérnökök, akiktől ők tanulták a gyakorlatban a szakmájukat, tudással együtt ugyanúgy átadták azt a (saját idejükben helyes, de mára már megváltozott) helyzetképet, hogy a folyamatvezérlő rendszereket nem lehet elérni a vállalati IT hálózatokból és még kevésbé az Internetről. Ez azonban az IT-OT konvergencia és még inkább az Ipar 4.0 és az ipari IoT térhódításával már évek (ha nem fél-egy évtizede) nem igaz.

Mik az élelmiszeripari ICS rendszerek egyedi kockázatai? Ebből a szempontból az élelmiszeripari folyamatvezérlő rendszerek egy furcsa amalgámot képeznek. Egyrészt nagyon nagy mértékben hasonlítanak a más iparágakban használt gyártásautomatizálási rendszerekre, ugyanakkor egy nagyon fontos szempontból hasonlítanak a gyógyszeripari és a vízművekben használt ICS rendszerekre is, ez pedig az élelmiszerekhez adagolt különböző vegyszerek (gondoljunk csak a többször felhasznált üvegek mosásánál használt tisztító/fertőtlenítő szerekre vagy a különböző tartósítószerekre) pontos és engedélyezett határértékeken belüli mennyiségének ellenőrzésére. Nem olyan régen láttuk az Oldsmar-i vízmű elleni kibertámadásnál, hogy egy illegális hozzáférést szerzett támadó viszonylag könnyen képes lehet módosítani egyes összetevők arányát, aminek az élelmiszeripari ICS rendszerek esetén akár súlyos, szélsőséges esetben halálos következményei is lehetnek.

A probléma és a kihívás tehát adott, a kérdés csak az, hogy vajon az élelmiszeripari cégek képesek-e idejekorán megfelelni ezeknek a kihívásoknak. Bár pontos információim nincsenek, de erős a gyanúm, hogy legnagyobb akadály ebben az iparágban is ott lesz, hogy a folyamatirányításért felelős mérnökök és az IT biztonsággal foglalkozó mérnökök nem csak, hogy nem értik, mivel foglalkozik a másik, de nincs is köztük érdemi munkakapcsolat. Márpedig ennek a két csoportnak a szoros és hatékony együttműködése nélkül nem lehet előrelépni az ICS biztonsági helyzet javítása terén.

Mitsubishi Electric berendezések sérülékenysége

Younes Dragoni, a Nozomi Networks munkatársa egy sérülékenységről közölt információkat a DHS CISA-val, amit a Mitsubishi Electric MELSEC iQ-R CPU moduljai alábbiakban talált:

- R00/01/02CPU minden verziója;
- R04/08/16/32/120(EN)CPU minden verziója;
- R08/16/32/120SFCPU minden verziója;
- R08/16/32/120PCPU minden verziója;
- R08/16/32/120PSFCPU minden verziója.

A gyártó a hibával kapcsolatban kockázatcsökkentő intézkedések alkalmazását javasolja. A sérülékenység részleteit az ICS-CERT publikációjában lehet megtalálni: https://us-cert.cisa.gov/ics/advisories/icsa-21-147-05

Sérülékenységek Mesa Labs rendszerekben

Stephen Yackey, a Securifera munkatársa 5 sérülékenységet talált a Mesa Labs AmegaView nevű monitoring megoldásának 3.0 és korábbi verzióiban.

A gyártó az érintett termék támogatását 2021 végével tervezi megszűntetni és már ezekhez a hibákhoz sem tervez javítást kiadni, ehelyett a ViewPoint nevű újabb termékükre történő váltást javasolja a hibák által érintett felhasználóinak. A sérülékenységekről bővebben az ICS-CERT bejelentésében lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-147-03

Sensormatic Electronics termékek sérülékenysége

A Johnson Control, a Sensormatic Electronics anyavállalata egy sérülékenységet jelentett a DHS CISA-nak, ami a Sensormatic Electronics VideoEdge nevű megoldásának 5.7.0-nál korábbi verzióit érinti.

A gyártó a hibát a VideoEdge 5.7.0 verziójában javította. A sérülékenységgel kapcsolatos további információkat az ICS-CERT weboldalán lehet elérni: https://us-cert.cisa.gov/ics/advisories/icsa-21-147-02

Sérülékenység GENIVI Alliance szoftverekben

Jan Schrewe az Informatik munkatársa egy sérülékenységről osztott meg részleteket a DHS CISA-val, amit a GENIVI Alliance dlt-daemon nevű, nyílt forráskódú diagnosztikai szoftverének 2.18.6-osnál korábbi verzióiban fedezett fel.

A GENIVI Alliance a hibával kapcsolatban a dlt-daemon legújabb verziójára történő frissítést javasolja. A sérülékenységről bővebb információkat az ICS-CERT publikációjában lehet olvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-147-01

Siemens SIMATIC S7 rendszerek sérülékenysége

Tal Keren, a Claroty munkatársa egy sérülékenységet azonosított a Siemens SIMATIC termékcsaládjának alábbi tagjaiban:

- SIMATIC Drive Controller termékcsalád minden, V2.9.2-nél korábbi verziója;
- SIMATIC ET 200SP Open Controller CPU1515SP PC2 (beleértve a SIPLUS változatokat is) minden verziója;
- SIMATIC ET 200SP Open Controller CPU1515SP PC (beleértve a SIPLUS változatokat is) minden verziója;
- SIMATIC S7-1200 CPU termékcsalád (beleértve a SIPLUS változatokat is) minden verziója; minden, V4.5.0-nél korábbi verziója;
- SIMATIC S7-1500 CPU termékcsalád (beleértve a kapcsolódó ET200CPU-kat és a SIPLUS változatokat is) minden, V2.9.2-nél korábbi verziója;
- SIMATIC S7-1500-as szoftveres vezérlők minden verziója;
- SIMATIC S7-PLCSIM Advanced minden, V4.0-nál korábbi verziója.

A gyártó a hibát a legtöbb érintett terméke újabb verzióiban javította. A sérülékenység részleteiről a Siemens ProductCERT bejelentéséből lehet tájékozódni.

Sérülékenységek Luxion KeyShot rendszerekhez használt Datakit programozási könyvtárakban és a Luxion KeyShot-ot használó Siemens Solid Edge rendszerekben

rgod, a ZDI-vel együttműködve öt sérülékenységről közölt információkat a DHS CISA-val, amiket a Datakit CrossCADWare programozási könyvtárak 2021.1-es és korábbi verzióiban talált:

- CatiaV5_3dRead;
- CatiaV6_3dRead;
- Step3dRead;
- Ug3dReadPsr;
- Jt3dReadPsr.

Az érintett könyvtárakat a Luxion KeyShot v10.1-es és korábbi verzióiban is használják, ezért az ezeket a verziókat futtató rendszerek is sérülékenyek.

A Datakit a 2021.2-es verzióban, a Luxion pedig v10.2-es verzióban javította a hibákat. A sérülékenységekkel kapcsolatos további információkat az ICS-CERT weboldalán lehet elolvasni: https://us-cert.cisa.gov/ics/advisories/icsa-21-145-01

Ezek a sérülékenységek megtalálhatóak a Siemens Solid Edge alábbi verzióiban:

- Solid Edge SE2020 minden verziója;
- Solid Edge SE2021 minden verziója.

A Solid Edge-dzsel kapcsolatos sérülékenységi információkat a Siemens ProductCERT bejelentésében lehet elérni.

Rockwell Automation vezérlők sérülékenysége

Hyunguk Yoo, a New Orleans-i Egyetem és Adeen Ayub és Irfan Ahmed Virginia-i Nemzetközösségi Egyetem munkatársai egy sérülékenységet találtak a Rockwell Automation alábbi vezérlőiben:

- Micro800 minden verziója;
- MicroLogix 1400 21-es és későbbi verziói, ha az Enhanced Password Security funkciót engedélyezték.

A hibával kapcsolatban a gyártó kockázatcsökkentő intézkedések bevezetését javasolja. A sérülékenységről további részleteket az ICS-CERT publikációjában lehet találni: https://us-cert.cisa.gov/ics/advisories/icsa-21-145-02

A fenti sérülékenységekkel kapcsolatban az ICS-CERT az alábbi kockázatcsökkentő intézkedések fontosságát hangsúlyozza:

- Minimálisra kell csökkenteni az ipari/egészségügyi rendszerek/hálózatok kapcsolatát az Internettel, az ilyen eszközök közvetlen Internetre történő csatlakoztatását kerülni kell;
- Az ipari/egészségügyi rendszereket/hálózatokat tűzfalakkal kell elválasztani a vállalati hálózatoktól;
- Az ipari/egészségügyi rendszerek/hálózatok távoli eléréséhez biztonságos módszereket (pl. VPN) kell használni, de szem előtt kell tartani azt is, hogy az egyes VPN-megoldásoknak is lehetnek sérülékenységeik és ezeket is folyamatosan frissíteni kell a legújabb elérhető verzióra. Nem szabad elfelejteni továbbá azt sem, hogy a VPN csak annyira biztonságos megoldás, mint az eszköz, amit a VPN-en keresztül a védett hálózathoz csatlakoztatnak;
- Amikor csak lehetséges el kell távolítani, le kell tiltani vagy meg kell változtatni az alapértelmezett felhasználói fiókok nevét és jelszavát;
- A nyers erőn (brute force) alapuló jelszótörések elleni védekezés jegyében felhasználói fiók-kizárási szabályokat célszerű alkalmazni;
- Erős jelszavak alkalmazását kikényszerítő szabályokat kell alkalmazni;
- Harmadik féltől származó alkalmazással célszerű monitorozni az adminisztrátori szintű jogosultságok kiadását;
- Az alapértelmezett beállításokat, amennyiben lehetséges, meg kell változtatni;
- A futó szolgáltatások hardening-jét célszerű elvégezni (csak azok a szolgáltatások fussanak, amik nélkülözhetetlenek);
- Biztonságos felhasználókezelési és hozzáférési szabályokat kell életbe léptetni;
- A megbízhatónak tartott firmware és szoftver-verziókból célszerű (valamilyen szinten tűzálló páncélszekrényben) elzárt fizikai példányokkal rendelkezni (lehetőleg egyszer írható adathordozón, pl. CD/DVD, stb.);
- Ismerni kell a normális működéshez tartozó hálózati forgalmat;
- Ki kell alakítani a biztonsági naplózás és naplóelemzés képességét és ezekre építve a megfelelő riasztási eljárásokat;
- Az új beállításokat labor körülmények között célszerű tesztelni, mielőtt az éles (és tartalék) rendszerekben alkalmaznák azokat.

A vállalat közleménye szerint egy kibertámadás miatt a JBS (a világ egyik legnagyobb élelmiszeripari vállalata) Észak-amerikai és ausztráliai üzemeiben átmenetileg le kellett állítani az élelmiszer (elsősorban marha- és sertéshús) feldolgozási folyamatokat. Bár a közlemény meglehetősen szűkszavú, egyes vélemények szerint ismét egy ransomware-támadás történhetett. Meg nem erősített források szerint az USA-ban található egyes üzemekben a keddi műszakokra már helyreállították a működés alapfeltételeit.

A JBS elsősorban az angolszász világban (USA, Kanada, Ausztrália, Egyesült Királyság) ismert számos márkájával (Swift, Pilgrim's Pride, Seara, Moy Park, Friboi, Primo, Just Bare), de termékeikkel 6 kontinens 190 országában vannak jelen a piacokon.

Ahogy sok más iparág esetén, úgy sokan az élelmiszeriparnál sem gondolnak bele abba, hogy milyen hihetetlenül nagymértékben hagyatkozik az iparág az automatizált folyamatokra. Már terveztem, hogy valamikor ennek az iparágnak az ICS biztonsági kockázatairól is írni fogok, ez az incidens csak megerősítette azt a meggyőződésemet, hogy minél előbb teszem meg ezt, annál jobb.