Analisi del Team82 di Claroty su IoControl: un nuovo cyberweapon OT/IoT

L’arma informatica è stata utilizzata da un gruppo affiliato all’Iran per attaccare infrastrutture civili critiche

Pubblicato il 6 gennaio 2025

Il Team82 di Claroty ha ottenuto un sample di un nuovo malware, chiamato IoControl, progettato su misura e utilizzato da un gruppo affiliato all’Iran per colpire dispositivi OT/IoT situati in Israele e negli Stati Uniti. Si tratta, quindi, di un’arma informatica utilizzata da uno Stato per attaccare infrastrutture civili critiche.

L’analisi condotta dai ricercatori Claroty fornisce uno sguardo approfondito sulle capacità del malware e sui suoi canali di comunicazione unici con l’infrastruttura di comando e controllo dei criminali.

Caratteristiche del malware

Il malware IoControl sembra essere parte di un’operazione globale contro dispositivi IoT e tecnologie operative (OT) occidentali. I dispositivi compromessi includono router, PLC, HMI, firewall e altre piattaforme IoT/OT basate su Linux.

Sebbene il malware sia stato progettato su misura, appare sufficientemente generico da funzionare su una varietà di piattaforme di diversi vendor, grazie alla sua configurazione modulare. Tra i vendor colpiti vi sono: Baicells, D-Link, Hikvision, Red Lion, Orpak, Phoenix Contact, Teltonika, Unitronics e altri.

Il Team82 è riuscito ad analizzare un sample del malware estratto da un sistema per la gestione del carburante, presumibilmente compromesso dal gruppo CyberAv3ngers, legato all’Iran. Questo gruppo è stato ritenuto responsabile anche di un attacco contro Unitronics lo scorso autunno.

Gli attacchi di IoControl

Un’ondata di attacchi di IoControl ha comportato la compromissione di centinaia di sistemi Orpak e Gasboy utilizzati per la gestione del carburante in Israele e negli Stati Uniti.

Sebbene il malware sia progettato principalmente per dispositivi IoT, ha avuto un impatto diretto sulle tecnologie operative (OT), come le pompe di carburante utilizzate nelle stazioni di servizio.

Gli attacchi rappresentano un’estensione del conflitto geopolitico tra Israele e Iran. Il gruppo CyberAv3ngers è ritenuto parte dell’Islamic Revolutionary Guard Corps Cyber Electronic Command (IRGC-CEC) e ha condiviso su Telegram screenshot e altre informazioni relative alla compromissione di questi sistemi di carburante.

Nel febbraio 2024, il Dipartimento del Tesoro degli Stati Uniti ha annunciato sanzioni contro sei funzionari dell’IRGC-CEC collegati ai CyberAv3ngers e ha offerto una ricompensa di 10 milioni di dollari per informazioni utili a identificare o localizzare gli autori degli attacchi.

L’analisi completa, condotta dal Team82 di Claroty è disponibile a questo link.

Fonte foto Pixabay_geralt

A SPS 2024 Moxa dimostra come garantire un’automazione di fabbrica e di processo semplice e sicura
Moxa Europe presenterà alla fiera SPS 2024, in programma dal 12 al 14 novembre 2024 a Norimberga (D), presso lo stand in partnership con Profibus User Organization (PI-Profibus&Profinet International), al padiglione 5, stand 210, tutti i suoi...
Sicurezza IIoT: i 5 step da osservare secondo Claroty
Dal ransomware agli attacchi DDoS (Distributed Denial of Service), fino alla presenza di dispositivi legacy, le minacce legate all’IIoT non accennano a diminuire. Con la continua espansione dell’IIoT e la comparsa di nuove possibilità di attacco, le...
Giochi olimpici di Parigi 2024: il fattore sicurezza
Dopo la conclusione dei campionati europei di calcio ‘Euro 2024’, l’attenzione degli appassionati di sport è ora rivolta ai Giochi Olimpici di Parigi di quest’estate, uno dei più grandi palcoscenici del mondo che proprio per questo è...
Cybersecurity nella PA e nella sanità, l’andamento nei rapporti Clusit
Gli attacchi condotti dalla criminalità organizzata verso l’Italia sono in aumento più che nel resto del mondo, con una percentuale del 65% tra il 2022 e il 2023 (verso una crescita del 12% a livello globale). A...
Malware +349% nel 2023, Trend Micro ha bloccato più di 45 milioni di e-mail ad alto rischio
Nel 2023 Trend Micro ha bloccato 45.261.542 e-mail ad alto rischio. Il dato emerge dall’ultimo Email Threat Landscape Report e dimostra come la posta elettronica, nonostante i quasi 50 anni di età, rimanga lo strumento di comunicazione...
A protezione del paziente
Innovazione digitale e cybersicurezza all’Ospedale Israelitico grazie all’utilizzo di Medigate di Claroty nei sistemi di protezione dell’infrastruttura ICT: un primo passo verso un progetto globale che vede la messa in sicurezza dell’intero network ospedaliero I dati relativi...
Layer di collegamento tra produzione e management
Come si crea uno ‘strato software’ che faccia realmente convergere IT e OT? Efficienza, sicurezza e interoperabilità sono le 3 parole chiave A cosa ci riferiamo quando parliamo di Production & Management Integration Layer? È presto detto....
TotalEnergies migliora safety, prestazioni e sicurezza con la rete OT di Allied Telesis
TotalEnergies, azienda multi-energy globale, ha aggiornato la rete OT delle sue piattaforme per l’estrazione di petrolio e gas nel Mare del Nord con un’infrastruttura di nuova generazione di Allied Telesis, attivo a livello globale nelle soluzioni di...
Alcuni spunti per prevenire gli attacchi informatici alla supply chain
a cura di Domenico Dominoni, Director of Sales South Europe di Claroty L’aumento della connettività ha contribuito a rendere le industrie manifatturiere obiettivi sempre più interessanti per i criminali informatici. Oggi, infatti, gli attacchi informatici sfruttano l’interconnessione...
Incrementare la resilienza operativa delle infrastrutture critiche grazie al monitoraggio
È un dato di fatto che la nostra vita professionale e personale sia sempre più basata sui dati, un elemento che tutti accettiamo e diamo per scontato. Ma ciò che molti ignorano è che la continuità del...