Un nuevo malware ICS sabotea los servicios de calentamiento de agua en Ucrania

Los investigadores han vinculado un ataque de enero de 2024 que cortó la energía de calefacción en alrededor de 600 edificios de apartamentos en Lviv, Ucrania, a temperaturas bajo cero, con un nuevo y peligroso malware dirigido específicamente a los sistemas de control industrial.

El malware, denominado FrostyGoop por los investigadores de Dragos que lo descubrieron, es el primer malware conocido que permite a los atacantes comunicarse directamente con sistemas de tecnología operativa (OT) a través de Modbus, un protocolo de comunicaciones ampliamente utilizado en entornos ICS para interactuar. Esto hace que FrostyGoop sea particularmente peligroso porque los atacantes pueden usarlo para atacar prácticamente cualquier sistema ICS que utilice Modbus para comunicarse. Dragos dijo en un informe esta semana. El proveedor de seguridad dijo que pudo encontrar alrededor de 46.000 dispositivos ICS expuestos a Internet que actualmente se comunican mediante el protocolo. FrostyGoop es sólo la novena herramienta maliciosa conocida diseñada específicamente para atacar entornos ICS.

«Modbus está integrado en sistemas modernos y heredados y en casi todas las industrias, lo que indica un potencial generalizado para interrumpir y comprometer servicios y sistemas críticos», dijo Dragos.[FrostyGoop] «Representa un riesgo significativo para la integridad y funcionalidad de los dispositivos ICS, con consecuencias potencialmente de gran alcance para las operaciones industriales y la seguridad pública».

Los investigadores de Dragos encontraron por primera vez los archivos binarios de FrostyGoop en abril de 2024 mientras realizaban una clasificación de rutina de archivos sospechosos en el sitio de un cliente. Su análisis inicial sugirió que el malware todavía estaba en la fase de prueba, pero rápidamente revisaron esa evaluación después de que el Centro de Situación de Seguridad Cibernética (CSSC) de Ucrania le proporcionara a Dragos detalles del ataque anunciado a una empresa de calefacción urbana en Lviv en enero de 2024.

Agua caliente enfriada durante casi 48 horas.

FrostyGoop, escrito en Golang y compilado para Windows, permite a los atacantes interactuar directamente con ICS a través de Modbus TCP a través del puerto 502. Un atacante que implemente el malware puede acceder y manipular entradas, salidas y datos de configuración en los registros del dispositivo ICS. Los registros de dispositivos son un tipo especial de lugar de almacenamiento de datos en sistemas industriales.

Además, el malware permite a un atacante enviar comandos no autorizados a los sistemas de las víctimas.

El ciberataque en Ucrania tuvo como objetivo los controladores de calefacción de la marca ENCO en una empresa que opera un servicio de distribución de agua caliente a los residentes de alrededor de 600 apartamentos en Lviv. Los atacantes utilizaron FrostyGoop para enviar comandos Modbus a los controladores, lo que provocó mediciones inexactas e interrupciones en el sistema. Los servicios de emergencia tuvieron que trabajar durante casi dos días para luego solucionar el problema.

«La carga útil cambió los valores de los controladores para hacerles creer que la temperatura del agua era más alta de lo que realmente era, por lo que el agua no se calentó», dijo Magpie (Mark) Graham, director técnico de Dragos, en una conferencia telefónica. El resultado fue que la empresa bombeó agua fría a las casas, dijo.

Dragos no pudo asociar al atacante con ningún actor de amenaza o grupo de actividad previamente identificado. Pero el hecho de que el atacante haya utilizado medios cibernéticos para interrumpir el suministro de agua caliente, a pesar de que un ataque cinético habría funcionado igual de bien, puede estar relacionado con el hecho de que las defensas de Ucrania ahora están en mejores condiciones de disuadir los ataques con misiles desde Rusia, dijo. .

La investigación de Dragos encontró que el ataque comenzó cuando los actores de la amenaza obtuvieron acceso por primera vez a la red de la compañía energética en abril de 2023 a través de una vulnerabilidad aún no identificada en un enrutador Microtek externo. Durante un período de seis días, entre el 20 y el 26 de abril de 2023, el atacante implementó un shell web en el entorno de la víctima, que utilizó varios meses después para exfiltrar las credenciales de los usuarios. En enero de 2024, los atacantes establecieron una conexión entre el entorno comprometido y una dirección IP ubicada en Rusia.

Potencial de otros ciberataques

Como la red de la empresa energética de Lviv no estaba segmentada, los atacantes pudieron utilizar su primer punto de ataque para abrirse paso lateralmente hasta varios servidores de gestión de la zona y, finalmente, hasta los controles de calefacción de la empresa. Como parte de la cadena de ataque, los atacantes degradaron el firmware de los controladores a una versión que no era compatible con el sistema de monitoreo del sistema de la compañía energética utilizado en la planta.

«Los atacantes no intentaron destruir los controles», dijo Dragos. «En cambio, provocaron que los controles informaran lecturas inexactas, lo que provocó un funcionamiento incorrecto del sistema y pérdida de calor para los clientes».

Graham dijo que era probable que antes del ataque de Lviv, los atacantes hubieran usado FrostyGoop para atacar a otros controladores cuyos puertos Modbus estaban abiertos a Internet. En ningún caso habría sido necesario comprometer la red para obtener acceso a los dispositivos, afirmó. «Estos son dispositivos a los que usted o yo ahora podemos acceder fácilmente a través de Internet».

Herramientas de malware específicas de ICS puede ser difícil de frustrar. Pero los atacantes normalmente los reservan sólo para campañas muy específicas. Los programas maliciosos más conocidos en esta categoría incluyen estuxnetcon los atacantes destruyendo la instalación iraní de enriquecimiento de uranio en Natanz, Industroyer/CrashOverrideque fue utilizado por el grupo ruso Sandworm en ataques a la red eléctrica de Ucrania, y Havex, que apuntó a entornos SCADA e ICS en Europa.

Dragos recomienda que los entornos ICS implementen cinco enfoques principales para proteger sus redes de este malware: segmentación de la red para mitigar el daño, monitoreo continuo para mejorar la visibilidad, acceso remoto seguro, gestión de vulnerabilidades basada en riesgos y sólidas capacidades de respuesta a incidentes.