Cyber-broń o kryptonimie Industroyer: blackout na całe miesiące za 3…2…1

Może ktoś jeszcze pamięta rosyjski cyber-atak na Ukrainę sprzed paru lat? (nastąpił wtedy godzinny blackout) Najnowsze doniesienia wskazują na to, że był to tylko wypadek przy pracy. Cała operacja miała na celu wyłącznie prądu na kilka tygodni czy nawet miesięcy, aktywowane w momencie przywrócenia sieci po początkowej małej awarii:

In an insidious twist in the Ukrenergo case, Russia’s hackers apparently intended to trigger that destruction not at the time of the blackout itself, but when grid operators turned the power back on, using the utility’s own recovery efforts against them.

W jaki sposób miało do tego dość? Po prostu przez spowodowanie fizyczne go uszkodzenia kluczowych komponentów. Taki USB killer, tylko na sieć energetyczną.

Nowa analiza pokazuje atak na tzw. protective relay (może ktoś da tłumaczenie?) – to komponenty, które mają zapewnić stabilność sieci energetycznej w przypadku gdy jej część zachowuje się niepoprawnie (zbyt wysokie napięcie, wysokie temperatury, etc). W przypadku gdy coś jest nie tak, niepoprawnie działający fragment sieci jest separowany i po sprawie. Co ciekawe to właśnie awaria tych komponentów spowodowała blackout w Nowym Jorku w 2019 roku.

Po dostaniu się do systemów IT sieci energetycznej, procedura ataku wygląda tak:  pozmieniać ustawienia kluczowych wyłączników, następnie zablokować komponenty ochronne (tutaj był wykorzystany exploit na pewną podatność, o której więcej w dalszej części):

Następnie robimy chaos i czekamy na ręczne włączenie obwodów przez operatorów (ale nie wiedzą oni że elementy wykrywające sytuacje krytyczne zostały po cichu wyłączone):

Given that CRASHOVERRIDE was designed to cause a massive transmission disruption by manipulating hundreds of devices, manual reconnection (taking place at a slower, more deliberate pace than what would be possible through normal SCADA operations) essentially connects a few lines at a time, resulting in potential overcurrent on the handful of reconnected lines during restoration. Normally, circumstances such as these would result in a fault and recovery through relay protection.

Po ręcznym włączeniu obwodów następują przepięcia i uszkodzenia corowych komponentów sieci. Game Over.

Co ciekawe wspominany DoS prawdopodobnie nie zadziałał, bo w exploicie źle zahardkodowano adresy IP (zobaczcie, że na zrzucie 172.16 – występuje na samym końcu):

IPki

Sam exploit jest dość niemiły, jednym pakietem można (było) wyłączyć całe urządzenie:

A security flaw in Siemens protective relays—for which the company had released a software fix in 2015, but which remained unpatched in many utilities—meant that any hackers who could send a single data packet to that device could essentially put it in a sleep state intended for firmware updates, rendering it useless until manually rebooted.

–ms