Hacker onthult lekken in industriële systemen
Een Italiaanse beveiligingsonderzoeker heeft tal van beveiligingslekken in industriële systemen onthuld, waardoor aanvallers op afstand belangrijke delen van de infrastructuur kunnen overnemen. De zogeheten SCADA-systemen (supervisory control and data acquisition) worden gebruikt in industriële omgevingen, zoals kernreactoren, raffinaderijen, gaspijplijnen en vliegvelden, die weer in verbinding met de publieke infrastructuur staan.
Luigi Auriemma vond maar liefst 35 problemen in de SCADA-software van Siemens, Iconics, 7-Technologies en DATAC. In 34 van de 35 lekken is het voor een aanvaller mogelijk om willekeurige code uit te voeren. Een probleem, want updates voor de kwetsbaarheden ontbreken. Daarnaast heeft Auriemma proof-of-concepts exploits online gezet.
Exploit
"In technische termen is SCADA-software gewoon hetzelfde als alle andere dagelijkse software", laat de Italiaan op de Bugtraq-mailinglijst weten. De reden dat de onderzoeker tot Full-disclosure overging, zonder eerst op een patch van de leveranciers te wachten, is dat "SCADA niemand iets kan schelen."
Onlangs verscheen er ook al een heus "exploit-pack" dat alle bekende SCADA-lekken bevat. De makers van het Agora SCADA+ Pack laten wetten dat SCADA-systemen lastig zijn te patchen, waardoor ook oude kwetsbaarheden nog relevant zijn.
Voor de duidelijkheid scada staat voor supervisory control and data acquisition. Dat 'supervisory' zegt alles.
En in kerncentrales is er al helemaal geen sprake van scada koppelingen naar de besturing. Dat mag niet van de IAEA.
Wat wel kan is dat setpoints vanuit erp software naar de scada software laag worden gestuurd die vervolgens worden doorgezet naar de plc laag. Maar ook dat zul je in kerncentrales niet zien.
Als de SCADA echter wegvalt, valt ook de controle van het systeem weg. Aanpassingen kunnen niet gedaan worden en de operators kunnen niet meer bijsturen en ingrijpen, omdat ze niet meer zien dat er dingen mis gaan. SCADA is meer dan monitoring alleen.
Waarschijnlijk (hopelijk) hebben ze in kerncentrales een DCS en een uitgebreid safety systeem, maar er zijn tal van plants (olie, gas, fabrieken met chemicalien, platforms) die wel degelijk bestuurd worden vanuit SCADA. Als iemand daar dingen in kan aanpassen, kan er een hoop gebeuren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
