A Rockwell Automation está alertando seus clientes a desconectar todos os sistemas de controle industrial (ICSs) que não devem estar conectados à internet para mitigar atividades cibernéticas não autorizadas ou maliciosas.

A empresa afirmou que emitiu o aviso devido às “tensões geopolíticas acentuadas e atividades cibernéticas adversárias em todo o mundo”.

Para tanto, os clientes devem tomar medidas imediatas para determinar se possuem dispositivos acessíveis pela internet e, em caso afirmativo, interromper a conectividade daqueles que não devem ficar expostos.

“Aos usuários nunca deve ser configurado para direto acesso à internet”, adicionou a Rockwell Automation.

“Remover essa conectividade como uma medida pró-ativa reduz a superfície de ataque e pode imediatamente reduzir a exposição à atividade cibernética não autorizada e maliciosa de atores de ameaças externas.”

Além disso, as organizações devem garantir que adotaram as mitigação e patches necessários para se proteger contra as seguintes falhas que impactam seus produtos.

O alerta também foi compartilhado pela Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA), que também recomenda que os usuários e administradores sigam as medidas apropriadas para reduzir exposição.

Isso inclui um aviso conjunto de 2020 lançado pela CISA e pela Agência de Segurança Nacional (NSA) alertando sobre atores maliciosos explorando ativos de tecnologia operacional (OT) acessíveis pela internet para conduzir atividades cibernéticas que poderiam representar ameaças severas à infraestrutura crítica.

“Os atores cibernéticos, incluindo grupos de ameaças persistentes avançadas (APT), têm visado sistemas OT/ICS nos últimos anos para obter ganhos políticos, vantagens econômicas e possivelmente executar efeitos destrutivos”, observou a NSA em setembro de 2022.

Adversários também foram observados conectando-se a controladores lógicos programáveis (PLCs) expostos publicamente e modificando a lógica de controle para acionar comportamentos indesejados.

Na verdade, uma pesquisa recente apresentada por um grupo de acadêmicos do Instituto de Tecnologia da Geórgia no Simpósio NDSS em março de 2024 descobriu que é possível realizar um ataque estilo Stuxnet comprometendo a aplicação web (ou interfaces humano-máquina) hospedadas pelos servidores web embutidos nos PLCs.

Isso envolve a exploração da interface web do PLC usada para monitoramento remoto, programação e configuração para obter acesso inicial e, em seguida, aproveitar as interfaces de programação de aplicativos legítimas (APIs) para sabotar a maquinaria real subjacente.

“Tais ataques incluem falsificação de leituras de sensores, desativação de alarmes de segurança e manipulação de atuadores físicos”, disseram os pesquisadores. “A emergência da tecnologia web em ambientes de controle industrial introduziu novas preocupações de segurança que não estão presentes no domínio de TI ou em dispositivos IoT de consumo.”

O novo Malware baseado em PLCs web tem vantagens significativas sobre as técnicas de malware PLC existentes, como independência de plataforma, facilidade de implementação e níveis mais altos de persistência, permitindo que um invasor execute ações maliciosas de forma oculta sem precisar implantar malware de lógica de controle.

Para garantir a segurança das redes OT e ICS, é aconselhável limitar a exposição de informações do sistema, auditar e proteger pontos de acesso remoto, restringir o acesso a ferramentas e scripts de aplicativos de rede e sistema de controle a usuários legítimos, realizar revisões de segurança periódicas e implementar um ambiente de rede dinâmico.