Sektörden Haberler

Yatay Hareket Sayesinde Fiziksel Zarara Neden Olabilecek EKS Açıklıkları

20 Şubat 2023

Siber güvenlik firması Forescout'taki araştırmacılar, son yıllarda (EKS) Endüstriyel Kontrol Sistemlerinde keşfedilen çeşitli güvenlik açıklarının, operasyonel teknoloji (OT) ağlarında yatay hareket yapılarak fiziksel zarara neden olabileceğini açıklamıştır.

Siber güvenlik firması Forescout’ın araştırmalarının merkezinde geçen yıl yapılan çalışmalarda Schneider Electric'in Modicon programlanabilir mantık denetleyicilerinde (PLC'ler) bulunan (CVE-2022-45788) uzaktan kod yürütme ve (CVE-2022-45789) kimlik doğrulama atlaması güvenlik açıklıkları bulunmuştur.

Sorunlar aslında Forescout'un birkaç büyük satıcının ürünlerinde düzinelerce kusurun keşfedilmesine yol açan OT: Buz Şelalesi (Icefall) araştırmasının bir parçası olarak keşfedilmiştir. Ancak Schneider, OT: buz şelalesi kamuoyuna açıkladığında güvenlik firmasından bu iki güvenlik açığını açıklamamasını istemiştir.

Modicon PLC güvenlik açıkları, bir OT ağında yatay hareket sağlayan bir saldırgan için, diğer satıcıların ürünlerindeki bilinen güvenlik kusurlarıyla birlikte kullanılmaktadır.

Yatay hareket, ulaşılması zor olabilecek EKS'ye erişim elde etmelerine izin verdiğinden, saldırganlar için tercih edilen bir yöntemdir. Ayrıca, tehdit aktörlerinin endüstriyel cihazları ayrıntılı olarak keşfetmesine de olanak sağlamaktadır.

Forescout, araştırmasının etkisini göstermek için simülasyonda; bilgisayar korsanlarının hareketli bir köprüye güç sağlayan sistemleri nasıl hedef alabileceklerini göstermiştir. Şirket, bu tür bir saldırının, denetleyici kontrol ve veri toplama (SCADA) arabirimi üzerinde basit bir denetime sahip olan sistemlerde bir saldırgan tarafından gerçekleştirilmesinin zor olacağını açıklamıştır.


Yayınlanan Araştırma Makalesinde Açıklanan Saldırı Senaryosu;

 

Örnek saldırıda; bir saldırganın önce bir Modicon PLC ile iletişim sağlamak için bir Wago bağlantı birimindeki bir güvenlik açığından yararlanmasını içermektedir. Saldırgan daha sonra PLC'deki UMAS hizmet kimlik doğrulamasını atlayıp köprü kontrol sisteminin iç kısımlarına geçmek için PLC'de uzaktan kod yürütmeyi başarmaktadır.

Saldırgan buradan, denetleyiciye bağlı saha cihazlarını manipüle edebilir. Tehdit aktörü, herhangi bir fiziksel hasara yol açmadan önce, kazaları önlemek için tasarlanmış bir Allen Bradley güvenlik denetleyicisindeki uzaktan kod yürütme güvenlik açığından da yararlanmaktadır.

Saldırı yöntemi gizlidir ve bilgisayar korsanının şüphe uyandırmadan çok çeşitli kötü amaçlı faaliyetler yürütmesine olanak tanımaktadır.

Böyle bir saldırının gerçek dünyadaki etkisine gelince, Forescout tarafından açıklanan köprü senaryosu durumunda, bir saldırgan, köprünün kısmen açık bir konumda bloke olmasına neden olmak için erişimlerini kullanarak kilit çubuğunu kurcalayabilir.

Saldırgan ayrıca köprünün tam hızda kapanmasına (tamamen kapanmadan önce yavaşlamadan) neden olabilir veya köprü kanadı maksimum hızdayken bir kapanma sekansı başlatarak acil durdurmayı tetikleyebilir. Her ikisi de yapıda önemli hasara neden olabilir.

Kaynak: https://www.securityweek.com/ics-vulnerabilities-chained-for-deep-lateral-movement-and-physical-damage/