Un equipo de investigadores del Instituto de Tecnología de Georgia ha desarrollado un malware diseñado para atacar controladores lógicos programables (PLC) modernos, demostrando que es posible lanzar ataques remotos estilo Stuxnet contra sistemas de control industrial (ICS). El proyecto se detalla en el artículo «Compromising Industrial Processes using Web-Based Programmable Logic Controller Malware», publicado por Ryan Pickren, Tohid Shekari, Saman Zonouz y Raheem Beyah.
Características de los ataques contra PLC
Los PLC tradicionales son vulnerables a ataques que apuntan a la capa lógica de control o a la capa de firmware. Los ataques de firmware ofrecen un alto nivel de control pero son difíciles de implementar, mientras que los ataques de lógica de control son más sencillos de desarrollar pero también más fáciles de detectar. Ambos escenarios requieren acceso privilegiado a la red industrial.
Los PLC modernos incluyen un servidor web y pueden ser configurados, controlados y monitoreados remotamente mediante API dedicadas y navegadores web que actúan como interfaz hombre-máquina (HMI). Aunque estos dispositivos ofrecen beneficios a las organizaciones, también amplían la superficie de ataque de los sistemas ICS.
El malware basado en web
Los investigadores desarrollaron un malware PLC basado en web que se aloja en la memoria del controlador y es ejecutado por dispositivos con navegador dentro del entorno ICS. Este malware puede aprovechar las API web legítimas para interrumpir procesos industriales o dañar maquinaria.
La infección inicial puede realizarse a través de acceso físico o red a la HMI basada en web, pero también se puede implementar directamente por Internet secuestrando la HMI mediante vulnerabilidades de origen cruzado. Para lograr persistencia, el malware utiliza trabajadores de servicios que permiten ejecutar código JavaScript en la memoria caché del navegador y seguir ejecutándose hasta 24 horas después de la eliminación del archivo.
El malware puede sobrevivir a actualizaciones de firmware, nuevas HMI basadas en web e incluso reemplazos de hardware. Las capacidades del malware dependen del poder de las API legítimas que se utilizan, incluyendo la posibilidad de sobrescribir valores de entrada/salida, cambiar puntos de ajuste y configuraciones de seguridad, falsificar la pantalla HMI o filtrar datos en tiempo real.
IronSpider: un ejemplo práctico
Los investigadores desarrollaron el malware IronSpider para atacar los PLC de Wago. El ataque simulado implicó la explotación de vulnerabilidades previamente desconocidas, permitiendo al malware sabotear un motor industrial y falsificar la pantalla HMI para evitar levantar sospechas.
Algunas vulnerabilidades de los PLC de Wago fueron descritas el año pasado tras una conversación con Ryan Pickren, uno de los investigadores involucrados en este proyecto. IronSpider ha sido comparado con Stuxnet, el malware que atacó las instalaciones nucleares iraníes hace más de una década.
Los investigadores explicaron que su prototipo logró un ataque similar a Stuxnet pero mediante un enfoque drásticamente diferente. Mientras que Stuxnet utilizó malware de lógica de control implementado a través de estaciones de trabajo comprometidas, IronSpider empleó un sitio web malicioso sin necesidad de comprometer sistemas periféricos.
Posibles afectaciones
El ataque se demostró contra PLC de Wago, pero los investigadores determinaron que este tipo de malware también puede utilizarse contra PLC de Siemens, Emerson, Schneider Electric, Mitsubishi Electric y Allen Bradley. Los ataques implican la explotación de vulnerabilidades recién descubiertas o conocidas previamente, en algunos casos requiriendo contraseñas FTP, protocolos inseguros o información privilegiada.
Los investigadores han creado un marco independiente del proveedor que se puede utilizar para crear y analizar malware de PLC basado en web. Este marco explora cada etapa utilizando estrategias ampliamente aplicables que pueden usarse contra la mayoría de los modelos de PLC modernos.