SCADA Hacking: Βρες ευάλωτα συστήματα SCADA με το Shodan

Σε προηγούμενο άρθρο γράψαμε για τη χρήση του Shodan της πιο επικίνδυνης μηχανής αναζήτησης στον κόσμο, για την ευάλωτων web-cams.

Όπως γνωρίζετε, το Shodan απλώς σαρώνει τις διευθύνσεις IP ανά τον κόσμο και στη συνέχεια μας εμφανίζει τα banners. Μπορούμε στη συνέχεια να αναζητήσουμε μέσω του Shodan τις παραμέτρους που αποκαλύπτονται σε αυτά τα banners για να βρούμε διευθύνσεις IP ενός συγκεκριμένου τύπου συσκευής.

Σε αυτόν τον οδηγό, θα αναζητήσουμε συσκευές SCADA. Το SCADA ή Supervisory Control and Data Acquisition (Εποπτικός έλεγχος και απόκτηση δεδομένων) είναι συστήματα που χρησιμοποιούνται για πράγματα όπως συστήματα μεταφοράς ηλεκτρικής ενέργειας, πυρηνικά εργοστάσια, χημικά εργοστάσια, εγκαταστάσεις επεξεργασίας νερού, συστήματα HVAC, οικιακή θέρμανση κ.λ.π. Όλα αυτά τα συστήματα διαθέτουν ψηφιακούς ελέγχους, οι οποίοι είναι όλοι ευάλωτοι σε επιθέσεις.

Τα συστήματα SCADA αποτελούν τεράστια ανησυχία για τις υπηρεσίες εθνικής άμυνας, καθώς σε ένα έθνος που έχουν πέσει θύμα hacking τα συστήματα SCADA του, θα υστερεί σε περίπτωση πολέμου. Αυτός είναι ο λόγος για τον οποίο οργανισμοί όπως η Εθνική Ασφάλεια των ΗΠΑ ανησυχούν τόσο πολύ για την ασφάλεια του SCADA. Οι περισσότεροι εμπειρογνώμονες κυβερνοπολέμου αναμένουν ότι όλοι οι μελλοντικοί πόλεμοι θα έχουν ένα στοιχείο κυβερνοεπίθεσης SCADA.

SCADA Communication Protocols

Υπάρχουν πολλαπλά πρωτόκολλα επικοινωνίας που χρησιμοποιούνται στα συστήματα SCADA ή στα συστήματα βιομηχανικού ελέγχου (ICS). Σε αντίθεση με το Ethernet ή τα Πρωτόκολλα Διαδικτύου (IP), η βιομηχανία βιομηχανικού ελέγχου χρησιμοποιεί πολλαπλά πρωτόκολλα, συχνά μοναδικά για τον κατασκευαστή των προγραμματιζόμενων λογικών ελεγκτών (PLC). Παρόλο που υπάρχουν πολλά πρωτόκολλα, μερικά από τα πιο δημοφιλή πρωτόκολλα επικοινωνίας σε αυτά τα συστήματα είναι τα εξής

modbus port 502

dnp port 19999

dnp3 port 20000

fieldbus port 1089-91

ethernet/IP port 2222

etherCAT port 34980

profinet port 34962-64

Η γνώση των θυρών στις οποίες λειτουργούν αυτά τα συστήματα μπορεί να μας βοηθήσει να εντοπίσουμε τα ευάλωτα συστήματα SCADA.

Modbus

Αν και θα εξετάσουμε άλλα πρωτόκολλα σε μελλοντικούς οδηγούς, εδώ θα επικεντρωθούμε στην εύρεση συστημάτων SCADA με δυνατότητα modbus που έχουν πρόσβαση στο Διαδίκτυο. Το Modbus είναι ένα από τα πιο κοινά πρωτόκολλα στα συστήματα ICS και SCADA. Δεδομένου ότι γνωρίζουμε ότι το modbus χρησιμοποιεί τη θύρα 502, δεν θα πρέπει να είναι δύσκολο να το βρείτε.

Το Modbus είναι ένα πρωτόκολλο σειριακής επικοινωνίας που δημοσιεύθηκε αρχικά από τη Modicon (σήμερα Schneider Electric) το 1979 για χρήση με τους προγραμματιζόμενους λογικούς ελεγκτές της (PLC). Το Modbus έχει γίνει ένα de facto τυποποιημένο πρωτόκολλο επικοινωνίας στα συστήματα SCADA/ICS. Το Modbus έχει γίνει το πρότυπο επειδή:

• αναπτύχθηκε με γνώμονα τις βιομηχανικές εφαρμογές

• ανοιχτού κώδικα και χωρίς δικαιώματα

• εύκολο στην ανάπτυξη και τη συντήρηση

• μετακινεί ακατέργαστα bits ή λέξεις χωρίς να θέτει πολλούς περιορισμούς στους πωλητές

Το Modbus επιτρέπει την επικοινωνία μεταξύ πολλών συσκευών που είναι συνδεδεμένες στο ίδιο δίκτυο, για παράδειγμα ένα σύστημα που μετρά τη θερμοκρασία και την υγρασία και μεταδίδει τα αποτελέσματα σε έναν υπολογιστή.

Το Modbus χρησιμοποιείται συχνά για τη σύνδεση ενός εποπτικού υπολογιστή με μια απομακρυσμένη τερματική μονάδα (RTU) σε συστήματα εποπτικού ελέγχου και συλλογής δεδομένων (SCADA). Πολλοί από τους τύπους δεδομένων έχουν πάρει το όνομά τους από τη χρήση τους στην οδήγηση των ηλεκτρονόμων: μια φυσική έξοδος ενός bit ονομάζεται πηνίο και μια φυσική είσοδος ενός bit ονομάζεται διακριτή είσοδος ή επαφή.

Χωρίς να αναφερθούμε σε πρόσθετες τεχνικές λεπτομέρειες του πρωτοκόλλου modbus, αρκεί να πούμε ότι πολλά συστήματα SCADA εξακολουθούν να χρησιμοποιούν αυτό το δημοφιλές πρωτόκολλο.

Shodan

Το Shodan μας δίνει τη δυνατότητα να αναζητήσουμε τα banners και τις πληροφορίες ή τις παραμέτρους που το αποκαλύπτουν. Δεδομένου ότι γνωρίζουμε ότι το modbus λειτουργεί μέσω της θύρας 502, θα μπορούσαμε απλά να αναζητήσουμε στο Shodan οποιαδήποτε IP που έχει αυτή τη θύρα ανοιχτή στο Διαδίκτυο. Εάν το κάνουν, είναι πιθανό να εκτελούν modbus και να αποτελούν μέρος της υποδομής SCADA κάποιας εταιρείας.

Ας ανοίξουμε το Shodan και ας αναζητήσουμε IP με ανοιχτή τη θύρα 502. Στο παράθυρο αναζήτησης του Shodan:

port:502

Σημειώστε ότι στο Shodan, πληκτρολογούμε πρώτα την παράμετρο που αναζητούμε (port), ακολουθούμενη από την άνω και κάτω τελεία (:) και τέλος την τιμή (502). Όταν το κάνουμε αυτό, βρίσκουμε πάνω από 13.000 αποτελέσματα! Αν και δεν υπάρχει εγγύηση ότι όλες αυτές οι IP τρέχουν modbus, είναι πιθανό οι περισσότερες να τρέχουν, καθώς η θύρα 502 δεν είναι δημοφιλής θύρα.

Μπορούμε να δούμε την πρώτη σελίδα των αποτελεσμάτων από την αναζήτησή μας στο Shodan παρακάτω.

Σημειώστε ότι το πρώτο αποτέλεσμα έχει διεύθυνση IP 192.253.39.64. Κάτω από την IP βλέπουμε ότι εδρεύει στη Γαλλία και συνδέεται μέσω του τηλεπικοινωνιακού συστήματος Orange (πρώην France Telecom). Όταν κάνουμε κλικ στην IP, μας μεταφέρει απευθείας στο περιβάλλον διαχείρισης αυτής της συσκευής που χρησιμοποιεί modbus.

Με μια μικρή έρευνα στο Διαδίκτυο, μπορούμε να διαπιστώσουμε ότι αυτό το PLC κατασκευάζεται από την SAIA-Burgess, μια εταιρεία με έδρα την Ελβετία. Κατασκευάζουν κυρίως προγραμματιζόμενα PLC θέρμανσης και ψύξης.

Όταν κάνουμε κλικ στην είσοδο, ερχόμαστε στο PCD Web-Server Login. Αν μπορέσουμε να συνδεθούμε εδώ, θα έχουμε πρόσβαση στα χειριστήρια αυτού του PLC και θα ελέγχουμε τη θερμοκρασία και την ενεργειακή απόδοση αυτής της εγκατάστασης. Αν και οι συνέπειες μιας τέτοιας παραβίασης μπορεί να φαίνονται ασήμαντες, ο Elliot Alderson (ο κύριος χαρακτήρας της τηλεοπτικής σειράς Mr. Robot) και η f/society θα λάτρευαν αυτή την πρόσβαση όταν προσπαθούσαν να καταστήσουν άχρηστες τις ταινίες αντιγράφων ασφαλείας της E Corp στις εγκαταστάσεις του Steel Mountain.

Μετά από αρκετές απόπειρες σύνδεσης, συνέχισα να λαμβάνω αυτή τη σελίδα σύνδεσης, υποδεικνύοντας ότι δεν υπάρχει κλείδωμα αυτής της σελίδας, καθιστώντας την ευάλωτη σε προσπάθειες brute force στον κωδικό πρόσβασής της.

Επιπλέον, δεδομένου ότι γνωρίζουμε ότι αυτή η συσκευή χρησιμοποιεί τη θύρα 502 για επικοινωνία modbus, είναι πιθανό να είναι ευάλωτη σε επιθέσεις modbus spoofing ή/και DoS σε αυτή τη θύρα.

Αυτό είναι ένα καλό παράδειγμα για το πώς τα συστήματα SCADA μπορούν να αναγνωριστούν από το Shodan. Συχνά οι άμυνές τους είναι αδύναμες και περιορισμένες και απλές επιθέσεις όπως η παραβίαση κωδικών πρόσβασης με brute force και οι επιθέσεις DoS εκτελούνται εύκολα εναντίον τους. Παρόλο που αυτό το σύστημα ήταν απλό και σχετικά ασήμαντο, έχω εντοπίσει μέσω του Shodan τη διεπαφή διαχείρισης GUI πυρηνικών σταθμών και υδροηλεκτρικών σταθμών. Οι μηχανικοί ασφαλείας θα πρέπει καλύτερα να ενημερωθούν πριν πέσουν θύματα της επόμενης επίθεσης στον κυβερνοχώρο.

Θα πρέπει να μπορείτε να βρείτε και άλλες συσκευές SCADA αναζητώντας τις θύρες 19999, 20000, 1089-1091, 2222, 34980 και 34962-34964.

Εύρεση συστημάτων SCADA βάσει ονόματος PLC

Μερικές φορές, μπορείτε να βρείτε συστήματα SCADA με βάση το όνομα του κατασκευαστή ή του PLC και τον αριθμό έκδοσης. Θυμηθείτε, με το Shodan αναζητούμε το περιεχόμενο του διαδικτυακού banner των συστημάτων. Στις περισσότερες περιπτώσεις, αυτά τα συστήματα εμφανίζουν και banner που αναφέρει λεπτομερώς το όνομα του κατασκευαστή, το PLC και την έκδοση. Aς δούμε ένα παράδειγμα.

Η Schneider Electric από το Παρίσι, είναι τώρα η μητρική της εταιρείας που ανέπτυξε πρώτη το πρωτόκολλο modbus, η Modicon. Παράγουν μια μεγάλη ποικιλία συστημάτων ICS τα περισσότερα από τα οποία χρησιμοποιούν το πρωτόκολλο modbus.

Ας αρχίσουμε να ψάχνουμε για αυτά τα συστήματα εισάγοντας απλώς το όνομα της εταιρείας “Schneider Electric” στη μηχανή αναζήτησης του Shodan μέσα σε διπλά εισαγωγικά. Αυτό θα πρέπει να βρει όλα τα συστήματα που έχουν αυτό το όνομα στο έμβλημά τους.

Όπως μπορείτε να δείτε, το Shodan εντόπισε σχεδόν 3000 συστήματα σε όλο τον κόσμο με το όνομα “Schneider Electric” στο έμβλημά τους. Αυτό υποδηλώνει έντονα, ότι το σύστημα ανήκει στην οικογένεια των προϊόντων της Schneider Electric.

Ίσως να θέλουμε να γίνουμε ακόμη πιο συγκεκριμένοι. Η Schneider Electric κατασκευάζει ένα αυτοματοποιημένο οικοδομικό σύστημα που ονομάζει SAS ή Schneider Automated Server. Χρησιμοποιείται για την αυτοματοποίηση της θέρμανσης, της ψύξης και της ασφάλειας κτιρίων υψηλής τεχνολογίας. Αν συμπεριλάβουμε αυτόν τον πρόσθετο όρο στην αναζήτηση του Shodan, θα λάβουμε ένα υποσύνολο της αρχικής μας αναζήτησης

Όπως μπορείτε να δείτε παραπάνω, η αναζήτησή μας περιορίστηκε σε μόλις 176 διευθύνσεις IP στον πλανήτη.