Computerbedreiging voor industriële systemen nu serieuzer

Een beveiligingsonderzoeker heeft een code gepubliceerd die kan worden gebruikt om de controle over computers te overnemen die worden gebruikt voor het beheer van industriële machines, waardoor hackers mogelijks toegang krijgen tot nutsbedrijven, waterplanten en zelfs olie- en gasraffinaderijen.

De software is eind vrijdagavond gepubliceerd door Kevin Finisterre, een onderzoeker die zei dat hij het bewustzijn van de kwetsbaarheden in deze systemen wil vergroten, problemen die volgens hem vaak worden gebagatelliseerd door softwareleveranciers. "Deze leveranciers worden niet verantwoordelijk gehouden voor de software die ze produceren", zei Finisterre, hoofd van onderzoek bij beveiligingsonderzoeksbureau Netragard. "Ze vertellen hun klanten dat er geen probleem is, ondertussen draait deze software kritieke infrastructuur."

Finisterre heeft zijn aanvalscode vrijgegeven als een softwaremodule voor Metasploit, een veel gebruikte hacktool. Door het te integreren met Metasploit, heeft Finisterre zijn code veel gemakkelijker te gebruiken gemaakt, zeggen beveiligingsdeskundigen. "Het integreren van de exploit met Metasploit geeft een breed spectrum van mensen toegang tot de aanval", zegt Seth Bromberger, manager van informatiebeveiliging bij PG & E. "Nu is het downloaden van Metasploit en je kunt de aanval starten."

[Lees meer: ​​Hoe je malware van je Windows-pc verwijdert]

De code maakt gebruik van een fout in Citect's CitectSCADA-software die oorspronkelijk door Core werd ontdekt Beveiligingstechnologieën en in juni openbaar gemaakt. Citect heeft een patch uitgebracht voor de bug toen deze voor het eerst werd onthuld, en de softwareleverancier heeft gezegd dat het probleem alleen een risico vormt voor bedrijven die hun systemen rechtstreeks met internet verbinden zonder firewallbeveiliging, iets dat nooit opzettelijk zou worden gedaan. Een slachtoffer zou ook een bepaalde databasefunctie binnen het CitectSCADA-product moeten inschakelen om de aanval te laten werken.

Dit soort industriële SCADA (supervisiecontrole en data-acquisitie) procesbeheersingsproducten is van oudsher moeilijk te verkrijgen en te analyseren, waardoor het lastig voor hackers om ze te onderzoeken op beveiligingsproblemen, maar de laatste jaren zijn steeds meer SCADA-systemen gebouwd op bekende besturingssystemen zoals Windows of Linux, waardoor ze zowel goedkoper als gemakkelijker te hacken zijn.

IT-beveiligingsexperts zijn gebruikt om systemen snel en vaak te patchen, maar industriële computersystemen zijn niet zoals pc's. Omdat een downtime met een waterplant of een elektriciteitssysteem kan leiden tot een catastrofe, kunnen technici soms aarzelen om software te wijzigen of de computers off-line brengen voor patching.

Dit verschil heeft geleid tot meningsverschillen tussen IT-professionals zoals Finisterre, die zie dat beveiligingskwetsbaarheden worden gebagatelliseerd en dat ingenieurs in de industrie belast zijn met het draaiende houden van deze systemen. "We hebben momenteel een klein beetje een cultuurclash gaande tussen de process control engineers en de IT-mensen," zei Bob Radvanovsky, een onafhankelijke onderzoeker die een SCADA-online discussielijst over beveiliging beheert die hierover heftige discussies heeft gehad topic.

Citect zei dat het niet had gehoord van klanten die vanwege deze fout waren gehackt. Maar het bedrijf is van plan binnenkort een nieuwe versie van CitectSCADA uit te geven met nieuwe beveiligingsfuncties, in een verklaring, (pdf) die dinsdag is vrijgegeven.

Die release zal niet snel komen, omdat Finisterre gelooft dat er andere, soortgelijke coderingen zijn fouten in de CitectSCADA-software.

En hoewel SCADA-systemen kunnen worden gescheiden van andere computernetwerken binnen fabrieken, kunnen ze nog steeds worden geschonden. Begin 2003 besmette een aannemer bijvoorbeeld de kerncentrale van Davis-Besse met de SQL Slammer-worm. "Veel mensen die deze systemen gebruiken, zijn van mening dat ze niet aan dezelfde regels gebonden zijn als de traditionele IT, 'zei Finisterre. "Hun branche is niet erg bekend met hacking en hackers in het algemeen."