Η ιρανική κυβερνοεπίθεση στα συστήματα ύδρευσης της Μινεσότα σηματοδοτεί αλλαγή κινήτρου

Μια συντονισμένη κυβερνοεπίθεση κατά της επιχειρησιακής τεχνολογίας (ΟΤ) περισσότερων από 30 κοινοτικών συστημάτων ύδρευσης και αποχέτευσης σε όλη τη Μινεσότα αποδίδεται πλέον σε έναν κρατικό δράτη του Ιράν. Σε αντίθεση με τα περιστατικά ransomware που κυριαρχούν στα πρωτοσέλιδα, αυτή η εκστρατεία δεν άφησε κανένα σημείωμα λύτρων και καμία απαίτηση πληρωμής. Σύμφωνα με τις αναφορές ειδοποίησης παραβίασης, αυτή η απουσία είναι η λεπτομέρεια στην οποία εστιάζουν περισσότερο οι ερευνητές: υποδεικνύει ότι πρόκειται για εντολή διατάραξης με πολιτικά κίνητρα και όχι για οικονομικό εκβιασμό.

Η επίθεση, η οποία εκτυλίχθηκε σε ένα σύντομο χρονικό διάστημα στα τέλη Ιουλίου, στόχευσε τα συστήματα βιομηχανικού ελέγχου που διασφαλίζουν τη λειτουργία της επεξεργασίας και διανομής νερού σε δεκάδες κοινότητες της Μινεσότα. Αν θέλετε το πλήρες χρονοδιάγραμμα του πώς το περιστατικό εξαπλώθηκε σε περισσότερα από 30 συστήματα μέσα σε μόλις δύο ημέρες, η προηγούμενη κάλυψή μας για την κυβερνοεπίθεση στο νερό της Μινεσότα αναλύει τον αρχικό εντοπισμό και την απόκριση.

Γιατί η απουσία σημειώματος λύτρων αλλάζει τα δεδομένα

Οι περισσότερες εγκληματικές ομάδες στον κυβερνοχώρο που διεισδύουν σε δίκτυα κοινής ωφέλειας κυνηγούν χρήματα. Κρυπτογραφούν δεδομένα, αποκλείουν τους χειριστές από τα συστήματα και αφήνουν οδηγίες για πληρωμή σε κρυπτονόμισμα. Αυτό το σενάριο είναι αρκετά γνωστό ώστε οι ανταποκριτές περιστατικών συχνά αντιμετωπίζουν το ίδιο το σημείωμα λύτρων ως δακτυλικό αποτύπωμα, βοηθώντας τους να αναγνωρίσουν την ομάδα πίσω από μια επίθεση και να προβλέψουν την επόμενη κίνησή της.

Αυτή η εκστρατεία έσπασε εντελώς αυτό το μοτίβο. Χωρίς απαίτηση εκβιασμού και χωρίς προσπάθεια αποκόμισης οικονομικού οφέλους από την εισβολή, η επικρατούσα θεωρία μεταξύ των ερευνητών είναι ότι ο στόχος ήταν η διατάραξη για χάρη της ίδιας της διατάραξης ή ως επίδειξη ικανότητας. Αυτή η διάκριση έχει σημασία γιατί αλλάζει τον τρόπο με τον οποίο οι επιχειρήσεις κοινής ωφέλειας, οι ρυθμιστικές αρχές και οι κάτοικοι πρέπει να σκέφτονται τον κίνδυνο. Ένας εισβολέας με οικονομικά κίνητρα θέλει τα συστήματα να επανέλθουν σε λειτουργία γρήγορα μόλις πληρωθεί. Ένας κρατικός δράστης που επιδιώκει μια εντολή διατάραξης δεν έχει τέτοιο κίνητρο, γεγονός που μπορεί να κάνει τα χρονοδιαγράμματα αποκατάστασης λιγότερο προβλέψιμα και την υποκείμενη πρόθεση δυσκολότερο να εξαλειφθεί μέσω διαπραγμάτευσης.

Μέρος ενός ευρύτερου μοτίβου κρατικά υποστηριζόμενης στόχευσης ΟΤ

Οι επιχειρήσεις ύδρευσης και αποχέτευσης έχουν γίνει ένας ολοένα και πιο ορατός στόχος για ξένες κρατικά συνδεδεμένες ομάδες hacking τα τελευταία δύο χρόνια, κυρίως επειδή συνδυάζουν κρίσιμη δημόσια λειτουργία με, σε πολλές περιπτώσεις, ανεπαρκώς στελεχωμένες ομάδες κυβερνοασφάλειας. Τα μικρά και μεσαία δημοτικά συστήματα συχνά λειτουργούν με παλαιού τύπου προγραμματιζόμενους λογικούς ελεγκτές (PLC) και εξοπλισμό ΟΤ που δεν σχεδιάστηκαν ποτέ με γνώμονα το σημερινό τοπίο απειλών, καθιστώντας τα ελκυστικά σημεία εισόδου για δράστες που θέλουν να αποδείξουν ότι μπορούν να πλήξουν τη φυσική υποδομή.

Αυτό δεν είναι ένα μεμονωμένο φαινόμενο που περιορίζεται σε ένα έθνος-κράτος ή έναν τομέα. Το ρεπορτάζ μας για έναν πρόσφατα αποκαλυφθέντα Κινέζο εργολάβο κυβερνοεπιχειρήσεων δείχνει πώς πολλά κράτη δημιουργούν οικοσυστήματα εργολάβων ειδικά για την υποστήριξη εκστρατειών εισβολής εναντίον ξένων υποδομών και δικτύων. Είτε ο δράστης είναι Ιρανικός, Κινεζικός ή άλλος, το κοινό νήμα είναι μια αυξανόμενη όρεξη για πρόσβαση σε συστήματα που ιστορικά θεωρούνταν πολύ εξειδικευμένα ή πολύ τοπικά για να αξίζουν τη στόχευση.

Τι σημαίνει αυτό για εσάς

Εάν ζείτε σε μία από τις πληγείσες κοινότητες της Μινεσότα, το άμεσο ερώτημα είναι σαφές: είναι το νερό ασφαλές και είναι η υπηρεσία αξιόπιστη; Οι αξιωματούχοι που ερευνούν αυτό το περιστατικό δεν έχουν αναφέρει κάποια κατάσταση έκτακτης ανάγκης για τη δημόσια υγεία που να συνδέεται άμεσα με την εισβολή, αλλά οποιαδήποτε διατάραξη των συστημάτων ΟΤ σε μια επιχείρηση ύδρευσης απαιτεί στενή παρακολούθηση από τις τοπικές αρχές και συνεχή διαφάνεια προς τους κατοίκους.

Πέρα από το άμεσο περιστατικό, υπάρχει μια διάσταση απορρήτου και ασφάλειας που αξίζει να κατανοήσουμε. Οι επιθέσεις στην επιχειρησιακή τεχνολογία διαφέρουν από τις παραβιάσεις δεδομένων που οι περισσότεροι άνθρωποι συνδέουν με τις «κυβερνοεπιθέσεις». Συνήθως δεν κλέβεται καμία βάση δεδομένων πελατών, δεν εκτίθενται προσωπικές πληροφορίες προς πώληση. Αντίθετα, ο κίνδυνος αφορά την αξιοπιστία και την ακεραιότητα των φυσικών υπηρεσιών από τις οποίες εξαρτώνται καθημερινά οι άνθρωποι. Αυτό καθιστά την υπόθεση λιγότερο μια ιστορία προσωπικού απορρήτου και περισσότερο μια ιστορία δημόσιας ασφάλειας και ανθεκτικότητας των υποδομών, αν και τα δύο είναι όλο και πιο αλληλένδετα καθώς περισσότερα δημοτικά συστήματα ψηφιοποιούν τις λειτουργίες τους και επεκτείνουν την απομακρυσμένη πρόσβαση για συντήρηση και παρακολούθηση.

Για τους διαχειριστές πληροφορικής (IT) και ΟΤ των δήμων, το δίδαγμα αφορά λιγότερο έναν συγκεκριμένο παράγοντα απειλής και περισσότερο τον αυξανόμενο όγκο προσοχής που λαμβάνουν γενικά τα συστήματα ύδρευσης. Βασικά μέτρα θωράκισης, κατάτμηση δικτύου μεταξύ περιβαλλόντων IT και OT και η ταχεία εφαρμογή διορθώσεων σε συστήματα ελέγχου που είναι εκτεθειμένα στο διαδίκτυο παραμένουν οι πιο αποτελεσματικές άμυνες ανεξάρτητα από το ποιος βρίσκεται πίσω από την επόμενη απόπειρα.

Πρακτικά συμπεράσματα

Οι κάτοικοι των πληγεισών κοινοτήτων θα πρέπει να αναζητούν επίσημες ενημερώσεις από την τοπική τους επιχείρηση ύδρευσης αντί να βασίζονται σε αναφορές από δεύτερο χέρι, καθώς οι επιχειρήσεις κοινής ωφέλειας είναι συνήθως οι πρώτες που γνωρίζουν για επιπτώσεις στην υπηρεσία. Οι δημοτικοί αξιωματούχοι που εποπτεύουν τα συστήματα ύδρευσης και αποχέτευσης θα πρέπει να αντιμετωπίσουν αυτό το περιστατικό ως έναυσμα για τον έλεγχο των σημείων απομακρυσμένης πρόσβασης στα δίκτυα ΟΤ και να επιβεβαιώσουν ότι τα συστήματα ελέγχου δεν είναι άμεσα εκτεθειμένα στο δημόσιο διαδίκτυο. Και όποιος παρακολουθεί την ευρύτερη τάση των κρατικά υποστηριζόμενων επιθέσεων σε υποδομές των ΗΠΑ θα πρέπει να αναγνωρίσει ότι το περιστατικό της Μινεσότα εντάσσεται σε ένα μοτίβο αντί να είναι μεμονωμένο: οι διαχειριστές κρίσιμων υποδομών όλων των μεγεθών βρίσκονται πλέον ξεκάθαρα στο στόχαστρο ξένων κρατικά συνδεδεμένων δρώντων και η απουσία αιτήματος λύτρων δεν σημαίνει απουσία κινδύνου.