ICS-Sicherheitsangriff ermöglicht die Fernsteuerung von Gebäuden

Sie können „Ihre gesamte Zentralanlage von einem aus verwalten“ Steuerung.“

Diese Marketingprahlerei bezieht sich auf die Fähigkeiten des enteliBUS-Steuerungssystems von Delta Controls.

Es veranschaulicht auch, warum Bequemlichkeit ebenso wie Komplexität als Feinde der Sicherheit bezeichnet wird.

Die Benutzerfreundlichkeit, die verbundene Industriesysteme bieten, kann sie auch zu einem einzigen Fehlerpunkt bei einem Cyberangriff machen, der potenziell einem Gegner die Kontrolle über Industrie- und Gebäudeanlagen ermöglicht. Beispielsweise könnte ein Hacker, der auf ein solches System abzielt, die Heizung oder Kühlung eines HLK-Systems während eines extremen Wetterereignisses demontieren. Ein solcher ICS-Sicherheits-Exploit könnte auch zu einem Temperaturanstieg in einer Produktionsstätte oder einem Rechenzentrum führen. Auch vernetzte Licht- und Zutrittskontrollsysteme wären Freiwild. Da der enteliBUS-Manager und andere ähnliche Produkte programmierbare BACnet-Controller sind, können potenzielle Ziele solcher Systeme praktisch jede Unternehmens- oder Industrieumgebung innerhalb eines Gebäudes sein. Ein Blog-Beitrag von McAfee weist auch darauf hin, dass solche BACnet-Systeme zur Steuerung des Überdruckraums innerhalb eines Krankenhauses verwendet werden. Dieser Raum ist dafür verantwortlich, das Eindringen von Schadstoffen in die Operationssäle zu verhindern.

Auf der Bühne von McAfee MPOWER zeigte Doug McKee, ein leitender Sicherheitsforscher des Unternehmens, in einer Live-Demo das Potenzial eines Zero-Day-Exploits für das enteliBUS-System. „Wir konnten diese Schwachstelle unter anderem zu 100 % aus der Ferne ausnutzen“, sagte McKee.

[ Industrielle IoT-Welt ist die Veranstaltung, bei der Unternehmen lernen, wie man IIoT für Integration, Innovation und Gewinn skalieren kann. Sparen Sie $200 auf Ihren Konferenzpass mit dem VIP-Code „ IOTWORLDTODAY ."]

Den Schaden demonstrieren

In einer Demo auf der Bühne demonstrierte McKee, wie einfach es ist, die Schwachstelle CVE-2019-9569 auszunutzen, für die ein Patch verfügbar ist. Mit einem simulierten Rechenzentrum, das für die Veranstaltung aufgebaut wurde, könnte ein Angreifer, der den Exploit nutzt, vernetzte Pumpen, Ventile und Lüfter im HLK-System des imaginären Rechenzentrums steuern, sagte McKee.

Eine Zusammenfassung, die die ICS-Sicherheitslücke in der National Vulnerability Database beschreibt, weist auch darauf hin, dass sie es einem Hacker ermöglichen könnte, ebenfalls einen Denial-of-Service-Angriff zu verursachen. Das zugrunde liegende Problem, das den Angriff ermöglichte, war eine Inkonsistenz bei der Verwaltung des Netzwerkverkehrs, die einen Pufferüberlauf verursachte, ein Schwachstellentyp, den die US-Regierung 1972 in einer Computer Security Technology Planning Study dokumentierte. Laut Wikipedia war 1988 der erste dokumentierte Fall eines Pufferüberlaufangriffs in freier Wildbahn. 

In der Bühnenpräsentation bei McAfee MPOWER zeigte McKee, wie eine Malware, die zur Ausnutzung der Schwachstelle entwickelt wurde, es ihm ermöglichte, HLK-Steuerungen und einen Alarm über eine Reverse Shell ein- und auszuschalten. Ein an ein solches System angeschlossener Alarm kann mit einem Sicherheitsinformations- und Ereignismanagementsystem verbunden werden oder eine Warnung per SMS oder E-Mail an einen Gebäudemanager senden. "Mit ein paar Tastenanschlägen kann ich den Wecker einschalten", sagte McKee. Steve Grobman, Chief Technology Officer von McAfee, wandte sich auf der Bühne an McKee und sagte:„Wenn Sie Ihren Sinn für Humor kennen, würden Sie wahrscheinlich auf dem Parkplatz sitzen, und wenn die Person, die für [die Rechenzentrumsanlage] verantwortlich ist, hereinfährt, würden Sie wahrscheinlich schalte den Wecker wieder aus."

Hacker könnten jedoch gerissenere Angriffe durchführen, die mehr erreichen als nur lästige Wartungs- und Gebäudemanagementmitarbeiter. Beispielsweise könnte ein Angreifer in einem flüssigkeitsgekühlten Rechenzentrum oder einer Einrichtung mit einem Heizraum oder einem wassergekühlten HLK-System vernetzte Pumpen nach Belieben abschalten. „Meine Klimaanlage zu Hause verwendet keine Wasserpumpen, aber Industrieanlagen tun dies. Und sie bieten kritische Kühlung für geschäftskritische Komponenten“, sagte Grobman.

Nach der Pumpendemonstration schaltete McKee die Klappe des HLK-Systems aus, um den Luftstrom zu blockieren, gefolgt von einem Ventil.

Die Schwachstelle würde es einem Angreifer auch ermöglichen, Daten zu manipulieren, Temperaturwerte oder andere Variablen zu ändern.

Action auf Distanz

Da der ICS-Sicherheitsangriff über das Internet ausnutzbar ist, könnte ein Angreifer einen solchen Exploit praktisch überall ausführen. Laut einem McAfee-Blog-Beitrag gab es 1.600 enteliBUS Manager-Geräte, die bei einer August-Suche auf der IoT-Suchmaschine Shodan.io angezeigt wurden. Eine Suche nach „eBMGR“ am 4. Oktober ergab fast 500 solcher Geräte, der Großteil davon in Nordamerika. Shodan bezeichnete jedoch einen Teil dieser Geräte als Honeypots. Auf einer Reihe der eBMGR-Geräte, die auf Shodan angezeigt werden, war die Firmware-Version 3.40.571848 installiert, die die anfällige Version war, die McAfee in seinen Labors ausnutzte. Wahrscheinlich sind auch Geräte mit früherer Firmware gefährdet.

McAfee teilte Delta Controls erstmals seine Forschung zu den eBMGR-Geräten am 7. Dezember 2018 mit. Delta Controls reagierte innerhalb weniger Wochen auf McAfees Offenlegung der Sicherheitslücke und veröffentlichte, wie bereits erwähnt, einen Patch, um diesen Exploit zu beheben. „Sobald dieser Patch einsatzbereit war, haben sie ihn an uns zurückgeschickt, und ich habe persönlich überprüft, dass er diese Schwachstelle zu 100 % behebt“, sagte McKee.