Mag 30, 2023 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, Malware, Minacce, News, RSS, Tecnologia, Vulnerabilità 0

Mandiant ha individuato un nuovo malware creato per colpire i sistemi OT e causare interruzioni alla rete elettrica. Battezzato “COSMICENERGY” dai ricercatori, il malware interagisce coi dispositivi IEC 60870-5-104, come i dispositivi di controllo RTU.

Secondo i ricercatori della firma di sicurezza sembra che il malware sia stato sviluppato a partire da un tool di red teaming per simulare interruzioni di corrente nei sistemi. Il tool sarebbe legato a Rostelecom-Solar, una compagnia russa di cybersecurity.

Come funziona COSMICENERGY

COSMICENERGY è composto da due componenti principali: PIEHOP, un tool in Python in grado di connettersi a un server MSSQL remoto per eseguire comandi, e LIGHTWORK, un tool scritto in C++ che implementa il protocollo IEC-104 per modificare lo stato di un dispositivo RTU attraverso TCP. Nel dettaglio, il primo strumento usa il secondo per modificare lo stato su “ON” o “OFF” dei dispositivi remoti.

Credits: solarseven – Depositphotos

Per essere efficace il malware ha bisogno di conoscere alcune informazioni dei sistemi quali in primis l’indirizzo IP del server MSSQL, le credenziali del server e gli indirizzi IP dei dispositivi IEC-104 target, ma non ha un modulo adibito a queste attività. Il codice analizzato dai ricercatori riportava otto information object address (IOA) di dispositivi IEC-104 scritti direttamente nel codice, ottenuti in precedenza con altri tool.

Al momento non è chiaro quali siano le vittime degli attaccanti dietro COSCMICENERGY o le motivazioni degli attacchi. La presenza di un modulo associato a un progetto chiamato “Solar Polygon” ha portato i ricercatori a Rostelecom-Solar; la compagnia in passato è stata sovvenzionata dal governo russo e, anche se al momento non ci sono abbastanza prove per affermarlo con certezza, è probabile che il malware sia stato sviluppato in accordo col governo.

I ricercatori di sicurezza hanno trovato in COSMICENERGY molte somiglianze con INDUSTROYER e INDUSTROYER.V2, oltre che con famiglie di malware OT quali IRONGATE, TRITON e INCONTROLLER; secondo Mandiant è un’indicazione del fatto che le barriere contro le minacce OT si stanno abbassando, visto che gli attaccanti stanno rimaneggiando vecchi malware per sferrare nuovi attacchi.

Credits: Pixabay

Proteggersi dai malware OT

I ricercatori prevedono che i malware OT continueranno ad abusare dei protocolli non sicuri, come l’IEC-104, e sfrutteranno librerie open-source per l’implementazione dei protocolli. Python continuerà a essere il linguaggio preferito dagli attaccanti per compilare e distribuire i malware OT.

Al fine di individuare attività sospette legate a malware OT, le imprese dovrebbero monitorare i sistemi che hanno accesso alle risorse OT, individuando eventuali cartelle e file temporanei che possono indicare la presenza di malware. Massima attenzione anche per la creazione e l’esecuzione di eseguibili Python (PyInstaller o Py2Exe) sui sistemi a rischio. Andrebbero poi monitorate tutte le attività sui server MSSQL, in particolare i tentativi di login ripetuti e l’esecuzione di comandi sospetti.