Aanvallers hebben geprobeerd het netwerk van een bekende Nederlandse zuivelcoöperatie te infiltreren, zo laat anti-virusbedrijf Norman tegenover Security.nl weten. Via een network protection appliance werd een gerichte aanval ontdekt. Bij het updaten van een systeem dat de zuivelcoöperatie voor het beheer van de SCADA-systemen gebruikte, werd malware ontdekt. De firmware die het bedrijf wilde installeren, bleek een aangepaste versie van de Conficker worm te bevatten. Conficker verspreidt zich normaliter via een beveiligingslek in de Windows Server Service, USB-sticks en gedeelde netwerkschijven. In dit geval was de firmware al bij de leverancier aangepast. Iets wat eerder ook bij muisfabrikant Razer gebeurde.

De zuivelcoöperatie was bezig met het verkrijgen van de ISA-99 certificering, die over de beveiliging van systemen binnen productieomgevingen gaat. Deze SCADA-systemen regelen het aansturen van bijvoorbeeld kleppen en vervullen een essentiële taak binnen belangrijke infrastructuur. "De SCADA-laag is heel tijdkritisch, het gaat erom dat kleppen op het juiste moment worden aangestuurd en productie continu kan doorlopen", zegt Michael Theuerzeit van Norman.

Virusuitbraak
Als je binnen zo'n omgeving een virusuitbraak krijgt ligt je productie plat, sluiters gaan niet op tijd open of dicht, waardoor een gevaarlijke situatie op de werkvloer ontstaat of waar de productie helemaal plat komt te liggen. Dat kost zeer veel geld." Normale virusscanners zijn dan ook geen oplossing, merkt Theuerzeit op.

Zelfs een lichte virusscanner is geen ideale oplossing, aangezien false positives altijd voorkomen. Op de draad scannen verdient daarom de voorkeur. Leveranciers van SCADA-software garanderen alleen de werking van het systeem als hun software als enige is geïnstalleerd en raden dan ook het gebruik van anti-virus software af.

Internet
Als het om SCADA-systemen gaat, zou je verwachten dat die niet op het internet zijn aangesloten. "Het is een natuurlijke ontwikkeling van het productieproces dat dit soort systemen toch vanaf het web bereikbaar zijn", zegt Theuerzeit. Vroeger werden nog speciale bussen gebruikt om data over te sturen, maar tegenwoordig zijn er allerlei koppelingen met ERP-systemen. "Waarbij de receptuur vanuit de kantooromgeving binnen de productieomgeving aangestuurd wordt. Daarnaast kunnen bedrijven nu vanuit het kantoor monitoren wat er op de werkvloer gebeurt."

Bedrijven willen steeds meer grip op hun productieproces hebben, vandaar ook de koppeling met de kantooromgeving. Maar die is verbonden met het internet, wat de nodige risico's met zich meebrengt. Een aanvaller zou bijvoorbeeld via een kantoorcomputer de kleppen kunnen bedienen. Daarnaast zijn het volgens Theuerzeit niet alleen de kantoorcomputers die Windows draaien, ook bij SCADA-systemen is dit het geval. "Die zijn ook zelf kwetsbaar." Als een SCADA-systeem op een verkeerd moment uitvalt, kan er een klep open blijven staan waardoor stoom uit een pijp blijft lopen of in het geval van de zuivelcoöperatie dat er melk blijft stromen of dat de toevoer van flessen stagneert.

Conficker
Aanvallers proberen wel degelijk dit soort systemen te infecteren, zoals bij de zuivelcoöperatie. "De eerste virussen zijn al tegengehouden", zegt Theuerzeit. Wat betreft de besmette firmware die werd onderschept, had dit voor problemen binnen de productieomgeving kunnen zorgen. De zuivelcoöperatie, die niet met naam genoemd wil worden, informeerde na de aanval Norman.

De virusbestrijder kan normaal niet zien wat de neergezette appliciances tegenhouden, maar kon in dit geval bevestigen dat het een aangepaste Conficker worm betrof. Wat betreft de motieven kan het gaan om concurrentie die gevoelige gegevens wil stelen of bewust systemen probeerde plat te leggen.