ICS 보안 공격으로 건물의 원격 제어 가능

“[m]전체 중앙 공장을 한 곳에서 관리할 수 있습니다. 컨트롤러입니다.”

그 마케팅 자랑은 Delta Controls의 enteliBUS 제어 시스템의 기능을 나타냅니다.

또한 복잡성과 마찬가지로 편의성이 보안의 적으로 불리는 이유도 설명합니다.

연결된 산업 시스템이 제공하는 사용 편의성은 사이버 공격에서 단일 실패 지점으로 만들어 잠재적으로 적군이 산업 및 건물 자산을 제어할 수 있도록 합니다. 예를 들어, 이러한 시스템을 표적으로 삼는 해커는 기상이변이 발생하는 동안 HVAC 시스템의 난방 또는 냉방을 분해할 수 있습니다. 이러한 ICS 보안 악용으로 인해 제조 시설이나 데이터 센터의 온도가 급상승할 수도 있습니다. 네트워크 조명 및 액세스 제어 시스템도 공정한 게임이 될 것입니다. enteliBUS 관리자 및 기타 유사한 제품은 프로그래밍 가능한 BACnet 컨트롤러이기 때문에 이러한 시스템의 잠재적 대상에는 건물 내에 있는 거의 모든 기업 또는 산업 환경이 포함될 수 있습니다. McAfee의 블로그 게시물에서는 이러한 BACnet 시스템이 병원 내 양압실을 제어하는 ​​데 사용된다고 지적합니다. 이 방은 오염 물질이 수술실로 들어가는 것을 막는 역할을 합니다.

McAfee MPOWER의 무대에서 회사의 수석 보안 연구원인 Doug McKee는 라이브 데모에서 enteliBUS 시스템을 대상으로 하는 제로 데이 익스플로잇의 가능성을 보여주었습니다. McKee는 "우리가 할 수 있었던 것 중 하나는 이 취약점을 100% 원격으로 악용하는 것입니다."라고 말했습니다.

[ 산업용 IoT 세계 는 기업이 통합, 혁신 및 수익을 위해 IIoT를 확장하는 방법을 배우는 이벤트입니다. VIP 코드 “로 컨퍼런스 패스에 $200 절약 IOTWORLDTODAY .”]

손상 입증

무대 데모에서 McKee는 패치가 제공되는 CVE-2019-9569 취약점을 악용하는 것이 얼마나 쉬운지 보여주었습니다. 이벤트를 위해 준비된 시뮬레이션된 데이터 센터를 통해 McKee는 익스플로잇을 사용하는 공격자가 가상 ​​데이터 센터의 HVAC 시스템에서 네트워크로 연결된 펌프, 밸브 및 팬을 제어할 수 있다고 말했습니다.

National Vulnerability Database의 ICS 보안 취약점을 설명하는 요약에서도 해커가 서비스 거부 공격을 일으킬 수 있다고 나와 있습니다. 네트워크 트래픽 관리의 불일치와 관련하여 공격을 가능하게 한 근본적인 문제는 버퍼 오버플로를 생성했으며, 이는 미국 정부가 1972년 컴퓨터 보안 기술 계획 연구에서 문서화한 취약점 유형입니다. Wikipedia에 따르면 야생에서 발생한 버퍼 오버플로 공격의 문서화된 첫 번째 사례는 1988년이었습니다.

McAfee MPOWER의 무대 프레젠테이션에서 McKee는 취약점을 악용하기 위해 개발된 맬웨어가 리버스 셸을 통해 HVAC 제어와 경보를 켜고 끌 수 있는 방법을 보여주었습니다. 이러한 시스템에 연결된 경보는 보안 정보 및 이벤트 관리 시스템에 연결되거나 SMS 또는 이메일 메시지를 통해 시설 관리자에게 경고를 보낼 수 있습니다. "몇 번의 키 입력으로 알람을 켤 수 있습니다."라고 McKee가 말했습니다. McAfee의 최고 기술 책임자인 Steve Grobman은 무대에서 McKee에게 다음과 같이 말했습니다. 알람 다시 꺼."

그러나 해커는 성가신 유지 보수 및 시설 관리 작업자 이상의 것을 수행하는 더 교활한 공격을 수행할 수 있습니다. 예를 들어, 수냉식 데이터 센터나 보일러실 또는 수냉식 HVAC 시스템이 있는 시설의 경우 공격자는 네트워크로 연결된 펌프를 마음대로 차단할 수 있습니다. “집에 있는 HVAC는 워터 펌프를 사용하지 않지만 산업용 시스템은 사용합니다. 그리고 그들은 미션 크리티컬 구성 요소에 중요한 냉각을 제공하고 있습니다.”라고 Grobman이 말했습니다.

펌프 시연 후 McKee는 공기 흐름을 차단하기 위해 HVAC 시스템의 댐퍼를 끈 다음 밸브를 차단했습니다.

또한 이 취약점으로 인해 공격자는 데이터를 조작하고 온도 판독값 또는 기타 변수를 변경할 수 있습니다.

원거리 액션

ICS 보안 공격은 인터넷을 통해 악용될 수 있기 때문에 공격자는 본질적으로 어디에서나 그러한 악용을 수행할 수 있습니다. McAfee 블로그 게시물에 따르면 IoT 검색 엔진 Shodan.io의 8월 검색에 1,600개의 enteliBUS Manager 장치가 표시되었습니다. 10월 4일에 "eBMGR"을 검색한 결과 거의 500개의 그러한 장치가 나타났으며 대부분이 북미에 있습니다. 그러나 Shodan은 이러한 장치의 일부를 허니팟으로 표시했습니다. Shodan에 표시되는 많은 eBMGR 장치에는 버전 3.40.571848 펌웨어가 설치되어 있었는데, 이는 McAfee가 연구소에서 악용한 취약한 버전이었습니다. 이전 펌웨어를 사용하는 장치도 위험합니다.

McAfee는 2018년 12월 7일 Delta Controls와 eBMGR 장치에 대한 연구를 처음 공유했습니다. Delta Controls는 몇 주 만에 McAfee의 취약점 공개에 대응했으며 앞서 언급했듯이 이 익스플로잇을 해결하기 위한 패치를 출시했습니다. McKee는 "일단 해당 패치가 준비되면 우리에게 다시 보냈고 개인적으로 이 취약점을 100% 수정하는 것으로 확인했습니다."라고 말했습니다.