A Rockwell Automation está incentivando seus clientes a desconectarem todos os sistemas de controle industrial (ICS) que não devem estar conectados à internet de forma pública para mitigar atividades cibernéticas não autorizadas ou maliciosas.
A empresa emitiu um aviso devido às “tensões geopolíticas e atividades cibernéticas adversárias globalmente.”
Nesse sentido, os clientes devem tomar medidas imediatas para determinar se possuem dispositivos acessíveis pela internet e, se for o caso, cortar a conectividade para aqueles que não devem estar expostos.
“Os usuários nunca devem configurar seus ativos para serem diretamente conectados à internet de forma pública”, acrescentou a Rockwell Automation.
“Remover essa conectividade como uma medida proativa reduz a superfície de ataque e pode imediatamente reduzir a exposição a atividades cibernéticas não autorizadas e maliciosas de atores ameaçadores externos.”
Além disso, as organizações devem garantir que adotaram as mitigações e correções necessárias para se proteger contra as falhas que impactam seus produtos.
O alerta também foi compartilhado pela Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA), que também recomenda que os usuários e administradores sigam as medidas apropriadas para reduzir a exposição.
Isso inclui um aviso conjunto de 2020 da CISA e da Agência de Segurança Nacional (NSA) alertando para atores maliciosos explorando ativos de tecnologia operacional acessíveis pela internet para realizar atividades cibernéticas que poderiam representar ameaças graves à infraestrutura crítica.
Os adversários também foram observados se conectando a controladores lógicos programáveis (PLCs) publicamente expostos e modificando a lógica de controle para desencadear comportamentos indesejáveis.
De fato, uma pesquisa recente apresentada por um grupo de acadêmicos do Instituto de Tecnologia da Geórgia no Simpósio NDSS em março de 2024 descobriu que é possível realizar um ataque no estilo Stuxnet comprometendo a aplicação web (ou interfaces homem-máquina) hospedadas pelos servidores web embutidos nos PLCs.
Isso envolve explorar a interface web do PLC usada para monitoramento remoto, programação e configuração para obter acesso inicial e depois tirar proveito das interfaces de programação de aplicativos legítimos (APIs) para sabotar a maquinaria real.
“Esses ataques incluem falsificação de leituras de sensores, desabilitação de alarmes de segurança e manipulação de atuadores físicos”, disseram os pesquisadores. “A emergência da tecnologia web em ambientes de controle industrial introduziu novas preocupações de segurança que não estão presentes no domínio de TI ou dispositivos IoT de consumo.”
O novo Malware baseado em PLC web tem vantagens significativas sobre as técnicas de malware PLC existentes, como independência de plataforma, facilidade de implantação e níveis mais altos de persistência, permitindo que um atacante realize ações maliciosas de forma oculta sem precisar implantar malware de lógica de controle.
Para proteger redes OT e ICS, é aconselhável limitar a exposição de informações do sistema, auditar e proteger pontos de acesso remoto, restringir o acesso a ferramentas de rede e sistemas de controle e scripts apenas para usuários legítimos, realizar revisões de segurança periódicas e implementar um ambiente de rede dinâmico.
