Home / Software / 5 gevaarlijke nieuwe aanvalstechnieken / Pagina 4
4. Complexe, sterk geplande aanvallen
De aanval op Oekraïense elektriciteitscentrales was anders dan andere hacks. Niet vanwege de DoS-implementatie, de malware, de betrokken componenten, de afhankelijkheid van automatisering en gebrek aan redundancy, de laterale bewegingen, de VPN-aanval, het flashen van firmware, het uitschakelen van switches bij onderstations, herprogrammeren van de UPS'en, het wissen van MBR's of een van de andere elementen die de aanval bijzonder maken: het was de grondige voorbereiding, gedurfde aanpak en vastberadenheid van de aanvallers.
Securitybedrijven orakelen graag over het gevaar van Advanced Persistent Threats en devalueren de term zodanig dat iedere malware-infectie gezien wordt als een APT. Maar als er ergens één aanval het etiket APT verdient, dan is het deze wel. Mocht je er de tijd voor hebben, kan ik dit artikel van Wireds Kim Zetter aanraden dat gedetailleerd kijkt naar de hack op de Oekraïense elektriciteitscentrale.
Zetter baseert zich grotendeels op onderzoek van SANS, waar de beveiligers over praten op RSAc. De aanval was overcompleet en grondig voorbereid: de hackers kenden het systeem tot in het grootste detail, waren op de hoogte van alle software- en hardwarecomponenten en konden de reactie van IT'ers en beveiligers voorspellen, zodat ze de pas werden afgesneden.
Zo flashten de aanvallers de firmware van switches zodat ICS-systemen niet benaderd konden worden en zorgden ze dat het netwerk op de hoofdlocatie niet meer functioneerde, zodat het energiebedrijf voor elk generatorstation en onderstation fysiek op locatie de switches moest herstellen.
De methode maakte verder om binnen te komen gebruik van het bijna tien jaar oude, maar niet minder effectieve BlackEnergy (PDF), vrij doorsnee malware die ondergronds te huur is om bijvoorbeeld grote botnets te creëren. Inmiddels is de malware populair en stevig geëvolueerd, zie video hieronder.
Het doel was mogelijk vooral politiek: de aanvallers wilden klaarblijkelijk het vertrouwen in Oekraïense nutsbedrijven ondermijnen. Delen van het land zaten nota bene in een van de koudste maanden van het jaar 6 uur lang zonder energie en de aanvallers hadden het telefoniesysteem onklaar gemaakt, zodat klagers geen gehoor kregen en niet werden geïnformeerd. "Het idee was om mensen zodanig te frustreren dat ze minder vertrouwen hebben in [Oekraïense] systemen", zegt SANS' Ed Skoudis.
Ook opvallend: de volledige aanval op het industriële controlesysteem was netwerkgebaseerd. Het vereiste geen fysieke penetratie, social engineering op locatie en/of het toevoegen van malafide hardware, zoals bijvoorbeeld bij de beruchte ICS-aanval via Stuxnet nog wel het geval was. "Gelukkig was het systeem nog niet volledig geautomatiseerd en waren er nog mensen die handmatig bij de switches konden", vertelt Skoudis. "Nu, drie maanden later, wordt er nog steeds gewerkt om het netwerk weer honderd procent in de lucht te krijgen."
BlackEnergy is een oudje, maar een nieuwe versie is flink gegroeid in populariteit, vooral in Oekraïne en Polen. ESET presenteerde twee jaar geleden over de malware en de reden en impact van diens plotselinge groei.