Компания Forescout обнаружила тревожную уязвимость в инфраструктуре водоснабжения США: 22 интернет-доступных программируемых логических контроллера (PLC) компании Rockwell Automation находятся в городах, пострадавших от недавних кибератак на системы водоснабжения. Особенно настораживает то, что 19 из этих контроллеров используют сеть одного мобильного оператора.

Согласно сканированию от 3 августа, во всём мире открыто 4407 контроллеров Rockwell, из них 2844 расположены в США. Forescout не смогла подтвердить компрометацию ни одного из них, однако сама по себе открытость этих устройств в сети представляет серьёзный риск. Как выяснилось, атакующие могут изменять IP-адреса и устанавливать пароли на уже доступные контроллеры, что приводит к потере видимости и в некоторых случаях к потере контроля над подключённым оборудованием — без использования каких-либо эксплойтов уязвимостей.

Инциденты с водоканалами и канализационными сооружениями в не менее семи штатах (по другим данным — в 12 штатах) были зафиксированы начиная с 27 июля. FBI и EPA предупредили об этом 30 июля, однако до сих пор не установили источник атак. Специалисты отмечают, что в официальных предупреждениях не объясняется, как атакующие находили и выбирали цели.

Основной вектор атаки связан с протоколом EtherNet/IP на порту 44818, который по умолчанию не требует аутентификации. В зависимости от конфигурации устройства это позволяет злоумышленнику идентифицировать контроллер или изменять его параметры. Более 70% открытых в США контроллеров расположены в сетях крупных мобильных операторов — Verizon Business, AT&T Mobility и T-Mobile USA.

Большая часть скомпрометированных устройств — это контроллеры серии MicroLogix 1400 (50%) и MicroLogix 1100 (8%). Особенно уязвимы устройства, запускающие старые версии прошивки, подверженные CVE-2017-16740 — буферному переполнению в Modbus TCP. Rockwell выпустила исправление ещё в 2017 году, но множество устройств так и не было обновлено. Эксперты подчёркивают: обновление прошивки необходимо, но оно не должно быть единственным решением — контроллеры просто не должны быть открыты в интернет.

FBI предупредила, что как минимум одна жертва обнаружила изменённые файлы конфигурации контроллеров, заметив расхождения в логике программирования между несколькими объектами. Агентство также указало на опасность циклических атак: если конфигурация безопасности одного поставщика уязвима, то же решение может быть использовано против множества его клиентов.

По материалам The Hacker News