Eset individua malware potenzialmente in grado di compromettere infrastutture critiche

Il virus è una variante di quello utilizzato lo scorso dicembre in occasione del sabotaggio della centrale elettrica di Kiev, in Ucraina

Rilevato da ESET Industroyer una tipologia di malware sfruttata dagli hacker per attaccare infrastrutture di utility e industriali. Il virus, si afferma nella nota rilasciata dal vendor, è una variante di quello utilizzato lo scorso dicembre in occasione del sabotaggio della centrale elettrica di Kiev, in Ucraina, che ne aveva causato il blackout.

Industroyer è una minaccia particolarmente pericolosa in quanto è capace di controllare direttamente gli switch delle sottostazioni elettriche e gli interruttori dei circuiti. Per farlo usa i protocolli di comunicazione industriale progettati decine di anni fa ed usati in tutto il mondo nelle infrastrutture di alimentazione energetica, nei sistemi di controllo dei trasporti e in altri sistemi di infrastrutture critiche come acqua e gas.

Questi interruttori sono l’equivalente digitale di quelli analogici e tecnicamente possono essere programmati per svolgere varie funzioni. L'impatto potenziale può variare dalla semplice interruzione nella distribuzione di energia, passando per guasti a cascata fino a danni più gravi alle apparecchiature ripercuotendosi sul funzionamento dei servizi vitali.

Il malware individuato da Eset è di tipo modulare. Il suo componente principale è una backdoor usata dai criminali per condurre l’attacco: installa e controlla gli altri componenti e si connette a un server remoto per ricevere dei comandi e fornire rapporti ai criminali. Quello che distingue l’Industroyer a parte l’obiettivo del malware è l’utilizzo di quattro componenti della payload che sono stati progettati per poter ottenere il controllo diretto degli switch e degli interruttori di circuito di una sottostazione di distribuzione elettrica. Ognuno di questi componenti si occupa di determinati protocolli di comunicazione specificati nei seguenti standard: IEC 60870-5-101, IEC 60870-5-104, IEC 61850, e OLE for Process Control Data Access (OPC DA).

Generalmente, le routine di infezione lavorano per fasi, i cui obiettivi sono la mappatura della rete, l’individuazione del bersaglio e l’invio dei comandi specifici per i dispositivi di controllo industriale da manomettere. "Le payload dell’Industroyer - affermano gli esperti di Esest - dimostrano la competenza e la profonda comprensione dei sistemi di controllo industriale da parte degli autori del malware.