Una ricerca scopre cinque vulnerabilità nei PLC di sicurezza Mitsubishi
Alla fine del 2020, Nozomi Networks Labs ha iniziato un progetto di ricerca su Melsoft, il protocollo di comunicazione utilizzato dai PLC di sicurezza Mitsubishi e GX Works3, il software corrispondente delle workstation di progettazione. L’analisi si è focalizzata sull’implementazione dell’autenticazione poiché ha notato che prodotti OT simili di altri fornitori contengono vulnerabilità in questa superficie di attacco.
Oltre a rivelare a Mitsubishi le vulnerabilità, Nozomi Networks condiviso proattivamente i PoC e tutti i dettagli tecnici della ricerca affinché l’azienda potesse elaborare una strategia risolutiva.
Gli aggiornamenti per prodotti come i PLC di sicurezza o i dispositivi medici richiedono più tempo per essere distribuiti rispetto ad altri software perché, oltre a sviluppare e testare la patch, i vendor sono tenuti a rispettare processi di certificazione specifici. A seconda del tipo di dispositivo e del quadro normativo, potrebbe essere necessaria la procedura di certificazione per ogni singolo aggiornamento.
In attesa che il processo di sviluppo e distribuzione della patch fosse completato, Nozomi Networks distribuito la logica di rilevamento ai clienti del suo servizio di Threat Intelligencee iniziato la ricerca di strategie di rilevamento più generali da condividere con la comunità di sicurezza ICS.
È probabile che i problemi rilevati influenzino l’autenticazione dei protocolli OT di più di un singolo fornitore, e desideriamo aiutare a proteggere quanti più sistemi possibile. La preoccupazione è che i clienti possano fare troppo affidamento sulla sicurezza degli schemi di autenticazione propri dei protocolli OT, senza conoscere i dettagli tecnici e i modelli di failure di queste implementazioni.
Descrizione delle vulnerabilità di autenticazione di Mitsubishi Melsoft
Modelli di minaccia
Nella ricerca sono considerati due modelli di minaccia. Nel primo, l’attaccante è limitato e può solo scambiare pacchetti con il PLC di destinazione. Nel secondo, oltre allo scambio di pacchetti, è anche in grado di effettuare lo sniffing del traffico di rete tra la stazione di lavoro (EWS) e il PLC di destinazione.
Panoramica sull’autenticazione Melsoft
Melsoft è stato analizzato sulla porta TCP 5007. L’autenticazione è implementata con una coppia nome utente/password. In questo schema, l’EWS invia prima un pacchetto contenente il nome utente in chiaro e riceve una risposta dal PLC che conferma se il nome sia valido. In caso affermativo, l’EWS invia un secondo pacchetto contenente un hash generato da un insieme di elementi, uno di questi è la password in chiaro.
Segue una descrizione di alto livello delle vulnerabilità che l’azienda ha scoperto.
Brute-force del nome utente
Per quanto ne sappiamo, l’esposizione del nome utente in chiaro via cavo è stata affrontata con una serie di mitigazioni. Nozomi Networks invece cercato di capire se la lista dei nomi utente validi potesse essere rivelata attraverso tecniche brute-force. Per verificare l’ipotesi, haimplementato un PoC, e il risultato è che gli username sono effettivamente brute-forceable. Il fattore limitante per un attaccante è la lunghezza massima per un nome utente, che è di 20 caratteri.
La funzionalità anti-password brute-force porta a un meccanismo di blocco dell’account eccessivamente restrittivo.
Una volta implementate le primitive di Malsoft per eseguire un’autenticazione di successo, è stato esteso il PoC iniziale con un forzatore di password che, dato un utente valido, prova ripetutamente una combinazione di password fino a trovare quella corretta. Fortunatamente, in questo caso, c’è un meccanismo anti-brute-force che blocca efficacemente un attaccante.
Tuttavia, l’implementazione del meccanismo è eccessivamente restrittiva. Non blocca solo un potenziale aggressore che usa un singolo IP, ma qualunque utente da qualsiasi IP per un certo periodo di tempo.
La conseguenza di questo design è che se un attaccante invia un numero limitato di password al PLC, sufficiente ad attivare la protezione anti-brute-force, tutti gli utenti con credenziali legittime sono effettivamente bloccati dall’autenticazione. Se un attacco di questo tipo è in corso, il proprietario della risorsa ha due opzioni:
- Bloccare i pacchetti password brute-force dal raggiungere il PLC e aspettare che la finestra temporale scada prima di autenticarsi.
- Riavviare fisicamente il dispositivo e autenticarsi immediatamente dopo che il processo di riavvio è stato completato.
Fughe di segreti equivalenti alle password
Sono stati due casi in cui un segreto derivato dalla password in chiaro è trapelato in un pacchetto. Un attaccante in grado di leggere tale pacchetto potrà usarlo per autenticarsi con il PLC. A causa del modo in cui l’autenticazione è implementata, questo segreto è funzionalmente equivalente alla password in chiaro. Nozomi Networks ha implementato un PoC che esegue un’autenticazione con questo segreto, invece di usare la password in chiaro.
Gestione dei gettoni di sessione
Dopo che un’autenticazione con un nome utente/password corretto è stata completata, viene generato un token di sessione che viene trasmesso in chiaro via wire. Il problema principale della gestione della sessione di Melsoft è che questo token non è legato a un indirizzo IP, né viene invalidato una volta che l’applicazione EWS viene chiusa. Un attaccante in grado di leggere un singolo comando privilegiato contenente un token di sessione può quindi riutilizzarlo da un altro IP dopo che è stato generato, in una finestra di poche ore.
Ideare uno scenario d’attacco concatenando più vulnerabilità
Se concateniamo alcune delle vulnerabilità identificate, emergono diversi scenari di attacco. È importante capire questo approccio perché gli attacchi del mondo reale sono spesso eseguiti sfruttando diverse vulnerabilità per raggiungere l’obiettivo finale.
In questo caso, un attaccante può iniziare registrando un singolo pacchetto che contiene il token per una sessione autenticata di un amministratore PLC, scegliendo il momento in cui ritiene ci siano minori possibilità di essere notati. L’attaccante chiederà poi al PLC la lista degli utenti registrati che conterrà anche il segreto equivalente alla password per ognuno di essi. Una volta che questi segreti sono stati ottenuti, non c’è bisogno di fare affidamento sul token di sessione, che dura solo poche ore.
La fase successiva può quindi avvenire quando si avrà la possibilità di avere l’impatto maggiore. L’attaccante può accedere con credenziali reali e cambiare la logica del PLC di sicurezza per poi iniziare un attacco brute-force alla password per bloccare tutti fuori dal PLC. Quando gli ingegneri cercheranno di riottenere l’accesso attraverso la workstation di ingegneria, non saranno in grado di farlo a meno che non riescano a impedire ai pacchetti di password brute-force di raggiungere il PLC.
Infine, se l’attaccante cambia le password degli utenti registrati, non c’è altra scelta che spegnere fisicamente il PLC per prevenire potenziali danni.
Contenuti correlati
-
Centro Software alla A&T Automation & testing Nordest di Vicenza
Centro Software, azienda di riferimento nel mercato italiano nello sviluppo di soluzioni ERP, partecipa alla Fiera A&T Automation&Testing Nordest di Vicenza, dal 6 all’8 novembre 2024 (Padiglione 6 | Stand C05-C07). La crescita di Centro Software nel...
-
Automazione e compliance alla normativa UE sugli imballaggi con Omron
L’Europa si sta preparando per apportare cambiamenti radicali alla legislazione sugli imballaggi. Patricia Torres, esperta di sostenibilità di Omron Industrial Automation Europe, spiega in che modo l’automazione della tracciabilità digitalizzata può aiutare i produttori di beni di...
-
Azionamento ad asse singolo Keba a elevata dinamica e precisione
Keba, azienda dalla vasta esperienza nel settore dell’automazione con sede a Linz, in Austria, amplia il proprio portafoglio di soluzioni di azionamento con i servoazionamenti monoasse della serie KeDrive D5, che si integrano perfettamente nella piattaforma di...
-
EDP testa la costruzione del suo primo parco solare che utilizza tecnologie di automazione
EDP, leader globale nel settore delle energie rinnovabili, testerà la tecnologia di automazione Hyperflex su larga scala per la costruzione del suo primo parco fotovoltaico in condizioni reali di installazione presso Peñaflor (Valladolid, Spagna). Il progetto, denominato...
-
SAVE Verona 2024: Consorzio PI Italia con tre interventi a cura dei due centri di competenza
Si è concluso l’appuntamento annuale con la fiera SAVE Verona, l’evento dedicato alle tecnologie per l’industria ospite al Palaexpo di Veronafiere il 16 e 17 ottobre 2024. Consorzio PI Italia ha preso parte anche quest’anno alla manifestazione dedicata all’automazione e alla digitalizzazione...
-
Soluzioni di automazione su misura Keba in SPS 2024
Keba Industrial Automation sarà presente SPS 2024 di Norimberga (Pad. 7, Stand 470) dove punterà su soluzioni integrate, digitalizzazione e intelligenza artificiale. La versatilità del portfolio prodotti si riflette in Kemro X, la piattaforma aperta e flessibile...
-
Robot umanoide cognitivo di Oversonic nella smart factory con SEW-Eurodrive
RoBee è il robot umanoide cognitivo creato da Oversonic al centro della collaborazione con il laboratorio di innovazione SEW Lab di SEW-Eurodrive. Nella nuova fase del progetto, l’umanoide entra in officina per esplorare il potenziale della robotica...
-
Automazione e robotica industriale nei licei: Omron collabora all’apertura di un nuovo indirizzo quadriennale
Omron è tra i partner scelti dall’Istituto Galileo Galilei di Bolzano nella realizzazione di un nuovo percorso quadriennale di Istruzione Professionale – Industria e Artigianato per il Made in Italy, con specializzazione in Automazione e Robotica Industriale....
-
Automazione, educazione e stampa 3D con DigiKey alla Maker Fair Rome
DigiKey, un distributore commerciale attivo a livello mondiale che offre una vasta selezione di componenti tecnici e prodotti di automazione a magazzino per la spedizione immediata, sarà presente alla Maker Fair Rome, dal 25 al 27 ottobre...
-
Oltre 750 espositori (+8,5%) e 35.000 visitatori, i numeri della 34.BI-MU
Si è chiusa sabato 12 ottobre, 34.BI-MU, biennale internazionale dedicata all’industria costruttrice di macchine utensili, robot, automazione, digital e additive manufacturing e subfornitura, in scena a fieramilano Rho da mercoledì 9 ottobre. Organizzata da EFIM-Ente Fiere Italiane...