Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Je kunt ook een cookievrije versie van de website bezoeken met minder functionaliteit. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , 34 reacties, 16.041 views •

In de Metasploit-hackerstoolkit is een aantal exploits voor programmable logic controllers toegevoegd. Hiermee kunnen industriŽle systemen worden gekraakt. De Metasploit-ontwikkelaars hopen dat de bugs worden opgelost.

Tijdens een conferentie ontdekte een zestal onderzoekers kwetsbaarheden in evenzoveel plc's. Het gaat om systemen van onder meer Schneider Electric, General Electric en Koyo. Sommige plc's bevatten backdoors; bij andere servers was fuzzing mogelijk of kon de webinterface worden misbruikt.

Exploits voor de bugs in de General Electric-plc zijn nu toegevoegd aan het Metasploit-framework, dat is ontwikkeld om beveiligingsproblemen op te sporen. Daarmee ligt ook misbruik van deze beveiligingsprobleem op de loer. De ontwikkelaars van Metasploit zeggen echter dat ontwikkelaars van de plc's te laks zijn en dat de opname in het framework ervoor moet zorgen dat de bugs worden opgelost. Er zijn plannen om ook exploits toe te voegen die misbruik van andere plc's mogelijk maken.

Met plc's worden industriële beheersystemen aangestuurd. Plc's zijn vaak onderdeel van een scada-systeem, dat kan worden gebruikt om industriële systemen op afstand te bedienen. Veel van dergelijke systemen zijn echter slecht beveiligd en hangen soms zelfs rechtstreeks aan het internet, zoals de Nederlandse beveiligingsonderzoeker @ntisec aantoonde. Hij ontdekte met relatief weinig moeite een groot aantal scada-systemen dat rechtstreeks te benaderen was.

plc vulns

De ontdekte kwetsbaarheden: een rood kruis staat voor een eenvoudig te misbruiken lek, een uitroepteken betekent dat er in theorie misbruik mogelijk is, en bij een groen vinkje is er niks aan de hand

Reacties (34)

Ik weet niet precies wat de impact is maar als ik die tabel zo zie, vind ik het er toch wel zorgwekkend uit zien :p
De impact kan zijn dat iemand ff een klepje open zet in een fabriek, en dat zou nog wel eens serieuze gevolgen kunnen hebben! Als je op de interface kan komen dan kan je ook alle kleppen schuiven etc. bedienen die in een fabriek aanwezig zijn.
Zelf mis ik de grootste zoals Siemens, ABB en Yokogawa.

De bulk van deze installaties hangen echt wel achter een VPN inlog op het corporate netwerk, en dan nog met een inlog op de server voordat je ook maar iets kan bedienen.

En ben je daar dan zal de operator een onverwachte handeling ook wel detecteren, en anders zal het besturings programma de machines veilig stellen (bugs uitgezonderd).

Maar een beetje aandacht voor veiligheid is nooit weg.
Bulk van deze installaties hangen niet eens aan het corporate netwerk. Deze hangen aan een speciaal netwerk waar de "normale" kantoor gebruiker niet eens op kan komen.
Maar een engineer met een mogelijk besmette laptop wel.
Daar heb je gelijk in, met het juiste virus ben je zo in het systeem. Het is hopelijk wel zo dat engineers een beetje beter opletten dan de gemiddelde gebruiker. Het is in de meeste fabrieken ook heel normaal dat je van je werkstation remote inlogt (een goeie engineer is een luie engineer :P ). Een virus op je werkstation of je thuis PC waarmee je onderhoud pleegd kan ook zo op scada-PC komen, zie stuxnet.
Och dit zijn alleen maar het soort systemen die kerncentrales en de stormvloedkering runnen :)
PLC's zijn 1 stap in beveiliging. Er boven hoort altijd nog een safety systeem te zitten (vaak uitgevoerd met hardwired logica) dat ingrijpt als het systeem buiten een aantal 'safe' waardes gaat lopen.
Maar er bestaan ook safety-PLC's die al die veiligheidslogica zoals lichtschermen etc. in de gaten houden en dan de machine in veilige stand zetten.
En die safety-PLC's worden ook geconfigureerd, al dan niet via een netwerkverbinding.
Om nog te zwijgen van machines in de voedselverwerking en cosmeticabranche, waaruit toch de nodige producten komen die door hele massa's mensen in- en op hun lijf gebruikt wordt. Een beetje creativiteit kan van een hele run producten iets giftigs maken. Een verdubbeling van de hoeveelheid zout in veel kant-en-klaar maaltijden is al genoeg.
Je hoeft er geen doden mee te maken ook - als jij 500 mensen een week van het werk houdt omdat ze met relatief kleine dingen bij de dokter zitten en thuis in bed liggen richt je ook heel wat schade aan ťn is het flink kassa qua angstzaaien.
Als het je wťl lukt om iets echt giftigs te maken is de vraag trouwens of je door de kwaliteitscontrole komt met je gehackte product... tenzij de quality assurance ook grotendeels automatisch gaat. En dat gaat die bij veel bedrijven.
Behalve het gebruik van plaatjes in een kruistabel zie ik geen overeenkomsten eigenlijk...
Wow, general Electric staat er niet al te lekker voor als ik dat zo zie. Of ik ben totaal blind, wat ook goed kan zijn hoor.

Wel mooi dat ze dit zo aantonen zodat mensen eraan kunnen werken.
off-topic/doem-scenario
Als ik me niet vergis was Fukushima ook gedesigned door GE.

edit: linkje erbij:
http://openchannel.msnbc....ima-have-23-sisters-in-us
Slecht van die bedrijven dat het op deze manier moet. Hopelijk gaan ze nu snel die bugs oplossen zodat de systemen geŁpdatet worden. Dan is er ten minste een mogelijkheid om die bugs op te lossen, zonder een fix kan dit nogal gevaarlijk worden.
Op het eerste gezicht een schrikbarende tabel met een hoop rode kruizen bij GE.
Echter wat mij dan opvalt is dat er bij Web N/A staat.
Houdt dit in dat ze geen web interface beschikbaar hebben, of dat er geen exploits in de web interface zitten?
In dat laatste geval heb je fysieke toegang tot de PLC nodig (of de centrale) om van de andere exploits gebruik te kunnen maken.
Dat maakt gelijk dat die rode kruizen dan iets minder heftig geÔnterpreteerd kunnen worden, met fysieke toegang tot de PLC kun je veel meer schade aanrichten (je zit immers binnen de bedrijfsomgeving..)
Leuk dat je dan de PLC kan kraken maar als dat van binnenuit moet gebeuren zul je toch eerst een paar andere hordes moeten nemen!
Kan ook zijn dat ze web niet hebben (kunnen/willen) getest. Maar dat ze geen Web interface hebben lijkt me logischer. Maar dan alsnog, zouden die exploits er niet in moeten zitten.
edit2: Excuus, dit was een reactie op "lanerios, vrijdag 20 januari 2012 15:40"

[Reactie gewijzigd door goestin op 20 januari 2012 17:11]

Ik mis Siemens en ABB. De 2 grootste namen in de industrie ?
Ik neem aan dat dit alleen in de pro versie komt. En die heeft niet iedereen. (gezien de kosten ervan). Metasploit blijft een pentest pakket, wat gemaakt is om vulnerabilties, en exploits in je eigen netwerk te testen.
Waarom zouden mensen die de intentie hebben met de plc's van een fabriek of weet ik wat te klooien hun software alleen legaal hebben ?
@ntisec heeft een pastebin-link bekend gemaakt op z'n twitter met verschillende IP's. Zit nu naar een boiler te kijken van St Benet's dormitory. Is nu wachten op de eerste meldingen van defecte apparatuur denk ik.
Als de software een beetje goed is geschreven krijgen ze het alleen koud. Het lijkt er op dat deze IP's alleen van wat kleine installaties is.
Ok, de GE, ik houdt het voortaan wel bij Sel en KOYO
Momenteel werk ik in eenzelfde branche met eenzelfde producten.
Bij het project waar ik nu mee bezig ben wordt er bewust voor gekozen om het gehele netwerk niet op internet aan te sluiten. Alle pc's en systemen die dus op dat netwerk zijn aangesloten hebben geen toegang tot internet. Ook heeft elke pc in dat netwerk een virusscanner die dagelijks met de hand zal worden geupdate door middel van een centrale server (ePO).
Ook worden alle ongebruikte ethernet poorten bewust gedisabled zodat derden niet zomaar zijn of haar laptop kan inpluggen.
In een goed doordachte netwerkarchitectuur in een energiecentrale of raffinaderij zal er weinig kans zijn dat bepaalde virussen via het internet deze apparatuur kan aantasten.

Die rode kruizen in bovenstaande tabel zegt dus weinig over de bedreiging. Indien deze systemen toch aan het netwerk worden gehangen zonder enige proxy, firewall of enig andere Layer 3 beveiliging, is er wat mij betreft iets goed mis met het design van het netwerk.

[Reactie gewijzigd door Cabbie_86 op 20 januari 2012 18:01]

Virus scanners van PC's lopen altijd achter de feiten aan, dus dat is geen enkele garantie dat er geen besmetting is op je netwerk. Indien 1 medewerker een besmette usb stick cd of iets ander mee heeft en gebruikt op zijn computer kan je proces al omzeep geholpen worden.
Ook ik werk momenteel aan een project met een veiligheids PLC met netwerk aansluiten (siemens PLC) en kan je zeggen dat er geen enkele beveiliging op de ethernet poorten zit (de enigste optie is om de poorten geheel uit te zetten, en dat is natuurlijk geen optie).
Via de ethernet poorten zijn alle register markers en datablokken volledig manipuleerbaar en volgens de fabrikant is dat normaal en is het aan de gebruiker om er maar een firewall oid voor te zetten. Deze houding is echt van de zotte en ik hoop dat deze berichten daar spoedig iets aan gaan doen.
Natuurlijk, maar uiteindelijk staat of valt het zoals je ook aangeeft, alsnog toch bij de eindgebruiker en hoe deze omgaat met cybersecurity.
Er bestaat een organisatie genaamd Worldtech die dit soort apparatuur "cyber secure" probeert te maken.
De wat slimmere virussen die van dit soort exploits gebruikmaken werken dan ook niet direct via het internet, denk aan Stuxnet.

Als ik bijvoorbeeld naar Amsterdam rijdt, bij Woodward binnenloop en in een onbewaakt moment een schaal met besmette USB-sticks bij de secretaresse neerzet, dan is er best een kans dat jij, of een van je collega's daar eentje van meeneemt, en en gebruikt. Als jij vervolgens met je laptopje onsite een update inspeelt bij een klant, dan zou ik dus alle beveiliging kunnen omgaan. Dit is misschien vergezocht, maar zo werkte Stuxnet ongeveer. Een beetje social engineering + een stukje (ok, een flink stuk) slim virusschrijven en je komt een heel eind.

Op dit item kan niet meer gereageerd worden.



Apple iPhone 6Samsung Galaxy Note 4Apple iPad Air 2FIFA 15Motorola Nexus 6Call of Duty: Advanced WarfareApple WatchWorld of Warcraft: Warlords of Draenor, PC (Windows)Microsoft Xbox One 500GBWebsites en communities

© 1998 - 2014 Tweakers.net B.V. Tweakers is onderdeel van De Persgroep en partner van Computable, Autotrack en Carsom.nl Hosting door True