El mundo de antivirus

viernes, 11 de mayo de 2018

A veces aparecen noticias que “make someone´s day”. Un mensaje publicado en el sitio web de una empresa IT importante es similar:

Una vulnerabilidad que afecta a la empresa, un controlador que decide de forma autónoma en qué modo va a funcionar...

¿De qué en realidad se trata en la noticia?

Además de los dispositivos “inteligentes” de los cuales se informa mucho, hay un gran número de dispositivos que controlan varios procesos y funcionan en respuesta al cambio de las opciones controladas. Son sistemas contra incendios, los equipos programados en las plantas, los sistemas de guiado de misiles de combate y mucho más. Hace poco estos sistemas eran analógicos y se podía volver a programarlos solo manualmente, lo cual impedía que los hackers los atacaran, pero con el tiempo los sistemas analógicos se cambiaron por los digitales. Ya hay más trabajos de outsourcing, lo cual automáticamente significa acceso remoto a los objetos críticos, con mayor frecuencia se usa el control a distancia en vez del acceso directo al equipamiento.

Últimamente con mucha frecuencia se mencionan los ataques a sistema digitales de control de la producción, pero no hay muchos ejemplos de estos ataques. La causa es obvia – la administración de equipamiento tecnológico requiere conocimiento específico, la experiencia de programación de microcontroladores. Y es muy probable que no haya beneficios. Por lo tanto, normalmente se trata de los ataques objetivo que se realizan por encargo, para el equipamiento específico. Y como los objetivos de estos ataques son producciones bastante importantes, normalmente no se indican muchos detalles: «En la declaración oficial de Saudi Aramco se indica que la empresa no fue sometida a ciberataques. En FireEye se negaron a comentar un mensaje diciendo que el objeto de ataque fue el sistema informático Saudi Aramco». Casi en todas las presentaciones como ejemplos se mencionan los ataques a una planta metalúrgica en Alemania, la central nuclear en Asia y una petrolera en Arabia Saudí.

Sobre la última se trataba en la noticia que mencionamos a principios de la edición. ¿Qué pasó si tomamos en cuenta los datos existentes?

El mismo grupo que «por lo visto, no tiene nada que ver con la vulnerabilidad». :-)

Es interesante que los malintencionados atacaron un sistema responsable de prevenir una catástrofe en el objeto de la fábrica:

Es decir, alguien estaba usando una vulnerabilidad desconocida en un controlador que proporcionaba seguridad. Permitía, así mismo, volver a programar el controlador que luego pudo omitir alguna situación, lo cual, a su vez, provocaría una avería.

Vamos a recordar que se volvía a programar desde un equipo de trabajo, lo cual otra vez confirma que la seguridad de sistemas tecnológicas empieza en las estaciones de trabajo de operadores. El análisis del incidente demostró que hay conexión de red no autorizada, y que además luego se inició una aplicación no autorizada.

Más tarde, el software nocivo se filtró en Internet:

Peor no huno nuevos ataques similares.

Es interesante que las noticias sobre los ataques del mismo objeto en los medios de comunicación aparecen varias veces:

¿Se trata del mismo evento o de varios eventos?