Кибератаките срещу операционните технологии (OT) се насочиха през последните години от изнудване и шпионаж към унищожаване – тенденция, която трябва да тревожи хората, натоварени със защитата на остарялото промишлено оборудване, заявиха експерти.

Панелната дискусия на конференцията за киберсигурност Black Hat USA подчерта множеството рискове, пред които са изправени операторите на критична инфраструктура, много от които са с недостатъчен персонал и финансиране, във време на засилен геополитически конфликт.

„OT атаките все повече се насочват не само към данни, но и към физически операции“, каза Шери Бенедикт, съветник по киберсигурност и верига на доставки в Службата на федералния главен информационен директор към Белия дом.

„Налице е реално желание и готовност за предизвикване на подобно въздействие в голям мащаб“, каза Матю Роджърс, ръководител на отдела за киберсигурност на операционните технологии в Агенцията за киберсигурност и сигурност на инфраструктурата (CISA).

Експертите по сигурността наблюдават с нарастващо безпокойство през последните няколко седмици как държави съобщават за прониквания в техните водни системи, свързани с Иран. Тези атаки не успяха да компрометират безопасността и качеството на питейната вода на американците. Междувременно обаче Иран предприе и кампания за деактивиране на системите за мониторинг на безопасността във водния и други сектори.

Именно тези атаки са „това, което всъщност трябва да ви плаши“, каза Роджърс.

Роджърс посочи препоръка относно иранската дейност, която CISA актуализира на 22 юли. В нея агенцията посочва, че в една организация свързани с Иран злонамерени субекти са внедрили зловреден код в програмируем логически контролер (PLC), който „е заобиколил специфични набори от инструкции, отговорни за поддържането на безопасни работни параметри в средата на жертвата“.

Един от първите известни примери за зловреден код, деактивиращ системи за безопасност, се случи през 2017 г., когато инструмент, известен като Triton, изключи предпазното оборудване в електроцентрала в Саудитска Арабия. Оттогава насам киберпрестъпниците са разработили нови начини за скрито компрометиране на технологиите за мониторинг на безопасността. Тъй като операторите на инфраструктура рядко изследват PLC контролерите, освен ако те забележимо не се повредят, застрашаващият безопасността злонамерен код може да остане незабелязан с години, преди атакуващият да го задейства.

„Този PLC сега е просто цъкаща бомба със закъснител“, каза Роджърс.

С развитието на тези нови инструменти средата на киберзаплахите се промени, за да се възползва от тях. Групи, които преди са използвали зловреден софтуер за изнудване (ransomware), за да постигнат смущения в работата, сега се опитват да причинят по-сериозни щети на доставчиците на инфраструктура.

В някои случаи зловредният софтуер за изтриване на данни (wiper) е станал по-често срещан от ransomware, каза Нийл Полард, партньор в консултантската фирма Control Risks. Обемът на заплахите е останал сравнително постоянен, каза Полард, но има „промяна в намеренията и разбирането“.

А wiper софтуерът дори не е най-големият проблем за инфраструктурната общност. Киберпрестъпниците също така все по-често се опитват да внедрят код, който трайно уврежда широко използвани системи за индустриален контрол (ICS), според Роджърс.

„Ние нямаме достатъчно ICS устройства, за да заменим действително това оборудване в какъвто и да е мащаб в САЩ“, каза Роджърс. „Тъй като хората са по-склонни да унищожават оборудването ни, как да се уверим, че това няма да се случи? Защото това е сценарий, от който няма възстановяване.“

Въпреки че нивото на опасност за доставчиците на инфраструктура и техните клиенти достигна нови висоти през последната година, основните причини за тази опасност са почти толкова стари, колкото и самата инфраструктура.

Много OT устройства все още използват прости пароли по подразбиране, каза Полард, а доставчиците на инфраструктура рутинно използват остарели устройства без възможност за инсталиране на корекции за сигурност, които не могат лесно да заменят.

„Никой не използва TLS“, каза Роджърс, визирайки протокола за криптиране Transport Layer Security. „Всичко това е некриптирано и неподписано.“

Организациите също така трудно разбират своите вериги на доставки и редовно са изненадани от това как смущенията при доставчици от трети страни се пренасят каскадно в техните собствени мрежи, каза Бенедикт.

Освен това процесите за реагиране при инциденти, които разчитат на достъп до лог файлове в реално време, често се сриват, когато се сблъскат с изолирана OT среда.