Hacking dei server ICS Historian: punto di snodo dalla rete IT ai sistemi OT

I server historian vengono utilizzati all’interno delle reti aziendali ormai da molto tempo. Questi database critici, infatti, non solo archiviano i dati raccolti dai sistemi di controllo industriale, ma si estendono anche alla rete aziendale condividendo le informazioni con i sistemi di pianificazione delle risorse aziendali e le piattaforme di analisi. Da un punto di vista tecnico, un historian è un database centralizzato situato nella rete locale del sistema di controllo che gestisce l’archiviazione dei dati e la loro correlazione utilizzando tecniche di controllo del processo statistico.

Ad esempio, un server historian in una fabbrica di produzione farmaceutica conserverebbe informazioni importanti sull’operazione di produzione in lotti, inclusa la temperatura delle sostanze in un dato momento, i livelli di PH e così via. I server historian rappresentano, però, anche un collegamento che sia ricercatori sia criminali informatici possono utilizzare per passare dai sistemi aziendali alle reti OT.

Per comprendere meglio come possano essere effettuati questi attacchi, Team82 ha studiato Proficy Historian di GE, un server storico che raccoglie, archivia e distribuisce serie temporali e dati ingegneristici. Le operazioni di automazione industriale generano dati importanti sullo stato di asset e processi e i server historian svolgono un ruolo considerevole nell’elaborazione e nell’analisi di tali informazioni on-premise o nel cloud al fine di comprendere e migliorare l’efficienza dei processi. Per un utente malintenzionato informazioni come il controllo del processo, le prestazioni e i dati di manutenzione hanno un valore considerevole.

Ecco, quindi, i motivi principali per i quali prendere di mira i server historian:

• Raccogliere informazioni sui processi industriali
• Utilizzare il loro accesso a scopo di lucro.
• Manipolare un processo di automazione modificando o eliminando i dati per interrompere le operazioni.
• Danneggiamento delle apparecchiature o pericolo per gli operatori.
• Sfruttare il punto di articolazione della rete OT.

In questo contesto, il lavoro di Team82 ha portato alla luce cinque vulnerabilità, inclusi bypass dell’autenticazione, manipolazione di file e bug di esecuzione di codice in modalità remota. L’obiettivo dei ricercatori Claroty era quello di provare ad assumere il pieno controllo di un server historian per modificare i record storici in una fabbrica farmaceutica immaginaria. Il primo passo è stato installare il server e comprenderne il funzionamento interno, quindi decodificare i protocolli di governo e capire come funzionava il meccanismo di autenticazione.

Il Team82 ha quindi cercato le vulnerabilità e scritto al proprio client per sfruttarle da remoto ed eseguire un codice non autorizzato sul server. Infine, una volta ottenuta una shell inversa sul server, i ricercatori di Team82 sono stati in grado di modificare i record.

GE ha corretto le vulnerabilità in Proficy Historian 2023 e in tutte le versioni interessate, annullando l’impatto dei proof-of-concept di Team82 e invitando i propri utenti ad aggiornare i server Proficy Historian interessati per non esporli ad attacchi remoti.

L’analisi completa effettuata da Team82 di Claroty è disponibile qui.

Contenuti correlati

• 
  Tra continuità operativa, governance e auditability

  Nel settore industriale, e in quello farmaceutico in particolare, la sicurezza non si valuta solo in termini di protezione, ma anche per la capacità di garantire la continuità della produzione nel rispetto dei requisiti di compliance. L’approccio...
• 
  L’AI ridisegna i sistemi critici: cambia il modo di controllare e proteggere l’operatività

  L’intelligenza artificiale generativa (GenAI) sta imprimendo una forte accelerazione alla trasformazione dei processi aziendali, ridefinendo non solo la produttività, ma anche il modo in cui vengono gestiti dati, infrastrutture e sistemi connessi. La capacità di creare modelli più...
• 
  TrendAI entra a far parte di Project Glasswing di Anthropic

  TrendAI, business unit di Trend Micro specializzata in AI security, è entrata a far parte di Project Glasswing di Anthropic, l’iniziativa che supporta le organizzazioni nell’identificare e risolvere le vulnerabilità nei sistemi software critici. Come parte del programma,...
• 
  The smarter E Europe: networking sicuro per infrastrutture energetiche critiche con Moxa

  Moxa Europe GmbH, azienda punto di riferimento nelle soluzioni di comunicazione e networking industriale, presenterà a EM-Power Europe, nell’ambito di The smarter E Europe (Messe München dal 23 al 25 giugno 2026), presso il Padiglione B.5, Stand...
• 
  Moxa ottiene la prima certificazione IEC 62443-4-2

  Moxa annuncia che la sua serie NPort 6000-G2 è diventata il primo server di dispositivi seriali al mondo a ottenere la certificazione IEC 62443-4-2 Livello di Sicurezza 2 nell’ambito dello schema di certificazione IECEE. Questo traguardo riflette l’impegno...
• 
  Visibility Orchestration: visibilità degli asset e riduzione del rischio

  Claroty, azienda specializzata nella protezione dei Sistemi Cyber-Fisici (CPS), ha annunciato l’introduzione di nuove funzionalità di Visibility Orchestration nella propria offerta SaaS Claroty xDome, trasformando la visibilità da concetto astratto a parametro misurabile, capace di dimostrare concretamente...
• 
  Sicurezza dei CPS: dalle minacce emergenti alla resilienza operativa

  C’è stato un tempo in cui gli attacchi informatici contro i sistemi cyber-fisici (CPS) erano quasi esclusivamente confinati all’ambito teorico. I sistemi di controllo industriale (ICS) erano protetti da air gap, i dispositivi medici risultavano analogamente isolati...
• 
  Cybersecurity, un attacco ogni 21,5 secondi: dati di Elmec Informatica

  La cybersecurity si conferma una priorità strategica per le imprese, in un contesto caratterizzato da una digitalizzazione sempre più pervasiva, innovazioni tecnologiche rapide e scenari geopolitici complessi. Nel 2025, le aziende hanno affrontato minacce sofisticate e in...
• 
  Clusit: cyber attacchi +49% nel 2025 e in Italia il 9,6% degli incidenti a livello mondiale

  Il 2025 segna un nuovo record storico per la criminalità informatica: nel mondo gli attacchi cyber gravi sono cresciuti del 49% rispetto all’anno precedente, arrivando a quota 5.265, che rappresenta il maggior numero registrato fino ad oggi...
• 
  Cyber Resilience Act nella Robotica Industriale

  Il Cyber Resilience Act (CRA) è un regolamento emanato dall’UE nel 2024 allo scopo di imporre un livello minimo di sicurezza informatica per tutti i prodotti che integrano elementi digitali e che sono immessi sul mercato europeo....