Nuevo ransomware expone vulnerabilidades críticas en sistemas de control industrial

Investigadores de Georgia Tech demuestran ataque a planta de tratamiento de agua simulada

Un equipo de investigadores del Instituto de Tecnología de Georgia (Atlanta) ha desarrollado un nuevo tipo de ransomware capaz de tomar el control de una planta de tratamiento de agua simulada en una prueba reciente.

Tras obtener acceso, los investigadores pudieron ordenar a controladores lógicos programables (PLCs) que cerraran válvulas, aumentaran la cantidad de cloro añadida al agua y mostraran lecturas falsas. El ataque simulado, diseñado para resaltar vulnerabilidades en los sistemas de control utilizados para operar instalaciones industriales —incluidas plantas de manufactura, instalaciones de tratamiento de agua y aguas residuales, y sistemas de gestión de edificios para controlar escaleras mecánicas, ascensores y sistemas HVAC— se cree que es el primero en demostrar la comprometida de PLCs reales por ransomware, según el equipo de Georgia Tech.

La investigación se presentó el 13 de febrero en la Conferencia RSA en San Francisco.

Aunque no se han reportado públicamente ataques reales de ransomware contra componentes de control de proceso de sistemas de control industrial, estos ataques se han convertido en un problema significativo para datos de pacientes en hospitales y datos de clientes en empresas. Los atacantes pueden acceder a estos sistemas y cifrar los datos, exigiendo un rescate para proporcionar la clave de cifrado que permita volver a usar los datos. Los investigadores señalaron que el ransomware generó unos 200 millones de dólares para los atacantes durante el primer trimestre de 2016, y creen que es solo cuestión de tiempo antes de que sistemas industriales críticos sean comprometidos y retenidos por rescate.

"Esperamos que el ransomware vaya un paso más allá, más allá de los datos de clientes para comprometer los propios sistemas de control", dijo David Formby, doctorando en la Escuela de Ingeniería Eléctrica y Computación de Georgia Tech. "Eso podría permitir a los atacantes secuestrar sistemas críticos como plantas de tratamiento de agua e instalaciones de manufactura. Comprometer los PLCs en estos sistemas es un siguiente paso lógico para estos atacantes."

Muchos sistemas de control industrial carecen de protocolos de seguridad robustos, señaló Raheem Beyah, profesor de la Fundación Motorola y vicepresidente asociado en la Escuela de Ingeniería Eléctrica y Computación y asesor de Formby. Eso es probable porque estos sistemas no han sido objetivo de ransomware hasta ahora, y porque sus vulnerabilidades pueden no ser bien entendidas por sus operadores.

En su investigación, Formby y Beyah usaron un programa de búsqueda especializado para localizar 1.400 PLCs de un solo tipo directamente accesibles a través de Internet. La mayoría de estos dispositivos se encuentran detrás de sistemas empresariales que proporcionan cierto nivel de protección —hasta que son comprometidos. Una vez que los atacantes entran en un sistema empresarial, podrían pivotar para entrar en sistemas de control si no están debidamente aislados.

"Muchos sistemas de control asumen que una vez que tienes acceso a la red, estás autorizado para hacer cambios en los sistemas de control", dijo Formby. "Pueden tener políticas de contraseñas y seguridad muy débiles que podrían permitir a intrusos tomar el control de bombas, válvulas y otros componentes clave del sistema de control industrial."

En la mayoría de los casos, los sistemas de control no fueron diseñados para conectarse a Internet, y muchos usuarios asumen que no están en la red pública y, por tanto, no son susceptibles a ataques, añadieron los investigadores. Los sistemas de control también pueden tener conexiones desconocidas para los operadores, incluidos puntos de acceso instalados para permitir mantenimiento, solución de problemas y actualizaciones.

"Existen conceptos erróneos comunes sobre qué está conectado a Internet", dijo Formby. "Los operadores pueden creer que sus sistemas están aislados (air-gapped) y que no hay forma de acceder a los controladores, pero estos sistemas a menudo están conectados de alguna manera."

Para lanzar la investigación, los investigadores identificaron varios PLCs comunes en uso en instalaciones industriales. Obtuvieron tres dispositivos diferentes y probaron su configuración de seguridad, incluida la protección por contraseña y la susceptibilidad a cambios de configuración. Los dispositivos se combinaron luego con bombas, tubos y tanques para crear una instalación simulada de tratamiento de agua. En lugar del cloro normalmente usado para desinfectar agua, los investigadores usaron yodo. También añadieron almidón a su suministro de agua, que se volvía azul brillante cuando un ataque simulado añadía yodo.

"Pudimos simular a un hacker que había obtenido acceso a esta parte del sistema y la retenía como rehén amenazando con verter grandes cantidades de cloro en el agua a menos que el operador pagara un rescate", dijo Formby. "En la cantidad adecuada, el cloro desinfecta el agua y la hace segura para beber. Pero demasiado cloro puede crear una reacción adversa que haría el agua insegura."

Las vulnerabilidades en sistemas de control se conocen desde hace más de una década, señalaron los investigadores, pero hasta el crecimiento del ransomware, los atacantes no habían podido beneficiarse económicamente de comprometer los sistemas. A medida que otros objetivos de ransomware se vuelven más difíciles, Beyah cree que los atacantes pueden volverse hacia objetivos más fáciles en los sistemas de control industrial.

"Es bastante probable que operadores de estados-nación ya estén familiarizados con esto y tengan ataques que podrían usar con fines políticos, pero los atacantes comunes no han tenido interés en estos sistemas", dijo. "Lo que esperamos es llamar la atención sobre este tema. Si nosotros podemos atacar con éxito estos sistemas de control, otros con malas intenciones también pueden hacerlo."

Además de mejorar la seguridad de contraseñas y limitar conexiones, Beyah dijo que los operadores de estos dispositivos necesitan instalar sistemas de monitorización de intrusión para alertarles si los atacantes están en las redes de control de procesos. Beyah y Formby han lanzado una empresa para hacer que sus estrategias para proteger sistemas estén ampliamente disponibles para operadores de sistemas de control.

DuPont otorga becas a jóvenes investigadores

DuPont (Wilmington, DE) ha nombrado a ocho jóvenes miembros de facultad a su Clase 2016 de Jóvenes Profesores DuPont. Reconociendo talento investigador prometedor, la empresa proporcionará a este grupo de facultad internacional más de 350.000 dólares durante los próximos dos años para apoyar su investigación que avanza el conocimiento científico básico para abordar desafíos globales en alimentación, energía y protección.

La Clase 2016 de Jóvenes Profesores DuPont está involucrada en investigaciones prometedoras en áreas clave de interés para DuPont, incluyendo trabajo en biología vegetal, biotecnología, ciencia de materiales, fotovoltaica e ingeniería química. Estos intereses están altamente alineados con las prioridades estratégicas de DuPont de innovación basada en ciencia en agricultura y nutrición, industriales basados en bio y materiales avanzados.

"La investigación y el desarrollo se están volviendo más conectados que nunca. El programa Jóvenes Profesores DuPont es una excelente manera de fortalecer tanto la investigación académica como la colaboración industrial apoyando a jóvenes facultad prometedoras", dijo Douglas Muzyka, vicepresidente senior y director de ciencia y tecnología de DuPont. "Las interacciones con estos investigadores estimularán aún más la creatividad de los científicos e ingenieros de DuPont que realizan investigación de vanguardia."

Gestionado por la organización de Ciencia e Innovación de DuPont, el programa ayuda a jóvenes profesores de investigación prometedores y sin titularidad a comenzar sus carreras investigadoras. Además, apoya el objetivo estratégico de DuPont de ampliar y extender sus horizontes de negocio mediante el avance de ciencias emergentes que se originan dentro de la empresa y de sus socios de investigación. El programa data de 1918, cuando Pierre S. du Pont seleccionó 42 universidades en EE. UU. y proporcionó becas que apoyaban a jóvenes facultades. Desde 1968, este programa ha proporcionado más de 50 millones de dólares en becas a más de 700 jóvenes profesores en 150 instituciones en 19 países.

Los miembros de la Clase 2016 de Jóvenes Profesores DuPont son científicos clave en el personal de ocho universidades líderes en todo el mundo. Los premios 2016 se otorgaron a los siguientes jóvenes facultad prometedores:

• Rupert J. Baumgartner, Instituto de Ciencias de Sistemas, Investigación en Innovación y Sostenibilidad, Universidad de Graz, Austria;
• Shelley Claridge, Departamentos de Química e Ingeniería Biomédica, Universidad Purdue;
• Candice Hirsch, Departamento de Agronomía Vegetal y Genética Vegetal, Universidad de Minnesota;
• Tengfei Luo, Ingeniería Aeroespacial y Mecánica, Universidad de Notre Dame;
• Peter Nemes, Departamento de Química, Universidad George Washington;
• Fabien Sorin, Instituto de Materiales, École Polytechnique Fédérale de Lausanne (EPFL), Suiza;
• Ana Velez, Departamento de Entomología, Universidad de Nebraska-Lincoln;
• Jia Zhu, Facultad de Ingeniería y Ciencias Aplicadas, Universidad de Nanjing, China.

TechFront es editado por el Editor Senior Patrick Waurzyniak.