Nowy wirus komputerowy atakuje elektrownie i wodociągi

Industroyer mógł być odpowiedzialny za ataki hakerskie na Ukrainie w 2016

Industroyer to, zdaniem części ekspertów, największe od czasów Stuxneta zagrożenie dla infrastruktury przemysłowej. Specjaliści z firmy ESET, którzy przeanalizowali Industroyera, informują, że kod jest zdolny do przeprowadzenia ataku podobnego do tego, który w 2016 roku doprowadził do wyłączenia prądu w Kijowie. Potencjalny skutek ataku to przerwy w dystrybucji prądu czy wody

Industroyer wykorzystuje przemysłowe protokoły komunikacyjne, które są używane na całym świecie w energetyce czy transporcie i za ich pomocą bezpośrednio kontroluje przełączniki w podstacjach energetycznych i wyłączniki instalacyjne. Tego typu urządzenia mogą zostać zaprogramowane tak, by zarówno prowadziły do prostych wyłączeń prądu, jak i by wywoływały reakcję łańcuchową, liczne awarie i uszkodzenia sprzętu.

"Niebezpieczeństwo - mówi Anton Cherepanov z ESET-u - stwarzane przez Industroyera leży w tym, że używa on protokołów tak, jak zostały one do tego przewidziane. Problemy z tym protokołami polega na tym, że zostały one zaprojektowane dziesiątki lat temu, gdy systemy przemysłowe były odizolowane od sieci zewnętrznych. Nie projektowano ich zatem z myślą o bezpieczeństwie komunikacji. A to oznacza, że napastnik nie musi szukać w nich dziur. Jedynie, czego potrzebuje, to szkodliwy kod, który dogaduje się z protokołem."

Głównym elementem Industroyera jest backdoor wykorzystywany do zarządzania szkodliwym kodem. Instaluje on moduły kontrolne i komunikuje się z serwerem, z którego otrzymuje instrukcje. Eksperci ESET-u zauważają, że tym, co różni Industroyera od innych kodów atakujących infrastrukturę przemysłową jest fakt wykorzystywania czterech różnych komponentów atakujących konkretne protokoły komunikacyjne. To zaś wskazuje, żę autor szkodliwego kodu ma szczegółową wiedzę i dobrze rozumie systemy kontroli przemysłowej.

Jest możliwe, że ataki na sieć energetyczną na Ukrainie w 2016 roku zostały przeprowadzone z użyciem Industroyera. Aby to stwierdzić, konieczne byłyby szczegółowe badania na miejscu zdarzenia. Podejrzenia rodzi jednak fakt, że złośliwe oprogramowanie zawiera datę aktywacji 17 grudnia 2016 r., czyli dokładnie dzień wystąpienia przerwy w dostawie energii.

(mk)