Novo compromisso generalizado de IoT pode afetar milhões de chips controladores lógicos

ATUALIZADO 12:05 EDT / 15 DE AGOSTO DE 2023

por David Strom

O pesquisador de segurança da Microsoft, Vladimir Tokarev, demonstrou um ataque interessante ao software de automação industrial da Internet das Coisas, chamado Codesys.

Tokarev, que mostrou a exploração na semana passada na conferência anual de segurança BlackHat em Las Vegas, usou um modelo de elevador em miniatura para demonstrar como o ataque poderia derrubar sua cabine. O software – e mais importante, seu kit de desenvolvimento de software – é amplamente utilizado em milhões de controladores lógicos programáveis ​​ou chips PLC que controlam tudo, desde semáforos e estações de tratamento de água até automação de operações em edifícios comerciais e tubulações de energia.

Em setembro passado, Tokarev encontrou 16 vulnerabilidades que ele chama coletivamente de CoDe16. Eles empregam técnicas de execução remota de código e de negação de serviço para assumir o controle dos PLCs e permitir que invasores insiram malware.

“Com o Codesys sendo usado por muitos fornecedores, uma vulnerabilidade pode afetar muitos setores, tipos de dispositivos e verticais, sem falar em múltiplas vulnerabilidades”, disse ele em uma postagem no blog descrevendo a pesquisa. A Microsoft Corp. estima que o software seja usado em 1.000 tipos diferentes de dispositivos fabricados por mais de 500 fabricantes.

Esta não é a primeira vulnerabilidade do Codesys. Em novembro passado, os pesquisadores da Forescout encontraram outro problema no software que afeta seus processos lógicos.

Tokarev postou sua análise e código no GitHub para que outros examinassem, junto com uma ferramenta que as empresas podem usar para identificar componentes em risco. A estrutura Codesys usa seus próprios protocolos de rede e números de porta TCP/IP especiais que ele precisou fazer engenharia reversa para entender sua operação e descobrir essas vulnerabilidades.

Muitos dos ataques utilizaram condições de buffer overflow. Tokarev montou uma variedade de equipamentos em seu trabalho e mostrou esta foto aos participantes da conferência:

Codesys vem com software de gerenciamento baseado em Windows e um simulador usado para fins de teste. “Devido à sua popularidade e ao seu amplo uso em todo o mundo, é um vetor de ataque crítico e muito interessante que deve ser protegido e mitigado”, disse ele na sessão da conferência.

Versões do Codesys anteriores a c.3.5.19.0 são vulneráveis ​​às vulnerabilidades descobertas e os usuários devem atualizar seu firmware usando este link. A Microsoft tem outras recomendações, incluindo segmentação de rede para isolar os PLCs do acesso online direto, bem como técnicas de gerenciamento de privilégios mínimos para restringir usuários que têm acesso aos dispositivos e têm a capacidade de postar alterações nos componentes.

OBRIGADO

Novo compromisso generalizado de IoT pode afetar milhões de chips controladores lógicos

MongoDB revela tecnologia de criptografia de dados para desenvolvedores aumentarem a privacidade e a conformidade dos dados

Novos relatórios mostram que o phishing está aumentando – e ficando mais sofisticado

Nutanix oferece abordagem de início rápido para desenvolvimento de IA

Dialpad integra IA generativa em seu conjunto de call center

Startup full-stack de observabilidade Highlight é lançada com US$ 8 milhões em financiamento

Novo compromisso generalizado de IoT pode afetar milhões de chips controladores lógicos

SEGURANÇA - POR DAVID STROM . 1 minuto atrás

MongoDB revela tecnologia de criptografia de dados para desenvolvedores aumentarem a privacidade e a conformidade dos dados

BIG DATA - POR JOHN FURRIER . 34 MINUTOS ATRÁS

Novos relatórios mostram que o phishing está aumentando – e ficando mais sofisticado

SEGURANÇA - POR DAVID STROM . 3 HORAS ATRÁS

Nutanix oferece abordagem de início rápido para desenvolvimento de IA

AI - POR PAUL GILLIN . 3 HORAS ATRÁS

Dialpad integra IA generativa em seu conjunto de call center

AI - POR PAUL GILLIN . 3 HORAS ATRÁS

Startup full-stack de observabilidade Highlight é lançada com US$ 8 milhões em financiamento

APLICATIVOS - POR MIKE WHEATLEY . 3 HORAS ATRÁS