Scoperto un malware che potrebbe far piombare nel buio le nostre città

I ricercatori dell'azienda di sicurezza Mandiant hanno scoperto un nuovo malware, identificato come CosmicEnergy, sviluppato per colpire i sistemi OT (Operational Technology) e sistemi per il controllo di processi industriali (ICS). 

Con il termine "tecnologia operativa" (OT, Operational Technology) si indicano i sistemi hardware e al software utilizzati per il controllo dei processi industriali.

Un malfunzionamento in questi sistemi potrebbe avere conseguenze gravi, soprattutto se sovraintendono a processi all'interno di infrastrutture critiche come le reti elettriche.

Secondo gli esperti di Mandiant, CosmicEnergy è stato per la prima volta caricato sul servizio online di scansione malware VirusTotal nel dicembre 2021 da un utente russo. La circostanza suggerisce che l'utente stesse testando la capacità del malware di eludere i principali sistemi antivirus utilizzati da VirusTotal.

Sicurezza informatica

Attacco hacker al sito del ministero del Made in Italy: "Messi offline sito e applicativi"

26 Maggio 2023

Il malware è stato progettato interferire con i dispositivi che utilizzano il protocollo IEC 60870-5-104 (IEC-104), come terminali remoti (RTU), con l'intento di interrompere l'alimentazione elettrica.

I sistemi RTU sono molto diffusi in ambito industriale, soprattutto nel settore energetico dove sono comuni nei processi di trasmissione e distribuzione elettrica, in Europa, Medio Oriente e Asia.

Purtroppo, CosmicEnergy non rappresenta una novità nel panorama delle minacce, in passato altri malware sono stati sviluppati ed utilizzati per attaccare sistemi OT. Va detto tuttavia che questi malware, tra cui i codici noti come Industroyer e Industroyer2, sono stati concepiti in un contesto nation state, ovvero da gruppi che operavano operazioni di sabotaggio per conto di governi.

Secondo Mandiant, CosmicEnergy si distingue dagli OT malware scoperti in passato in quanto sembrerebbe essere stato sviluppato da un appaltatore di un'attività di Red Teaming del governo Russo. Il malware sarebbe stato sviluppato e impiegato in una esercitazione in cui si è simulato un attacco ai sistemi di alimentazione elettrica. Il malware è stato sviluppato dalla società di sicurezza informatica russa Rostelecom- Solar e le sue capacità sono simili a quelle dei malware Industroyer e Industroyer2 impiegati da gruppi russi per attaccare le reti elettriche in Ucraina dal 2015.

"Le capacità di CosmicEnergy e la strategia di attacco complessiva sembrano ricordare l'incidente Industroyer del 2016, che ha eseguito comandi ON/OFF IEC-104 per interagire con le RTU e, secondo un'analisi, potrebbe aver utilizzato un server MSSQL come sistema di trasmissione per accedere a sistemi OT." si legge nell'analisi pubblicata da Mandiant. "Sfruttando questo accesso, un utente malintenzionato remoto può inviare comandi per influenzare l'attivazione degli interruttori della linea elettrica e degli interruttori automatici per causare interruzioni di corrente".

Il malware CosmicEnergy è composto da due componenti principali identificate come Piehop e Lightwork.

Piehop è il componente per l'esecuzione dei comandi IEC-104 di "ON" o "OFF" sui sistemi remoti, mentre Lightworkè un tool che implementa il protocollo IEC-104 per modificare lo stato delle RTU. 

"La scoperta di CosmicEnergy dimostra che le barriere all'ingresso per lo sviluppo di capacità OT offensive si stanno abbassando man mano che gli attori sfruttano la conoscenza degli attacchi precedenti per sviluppare nuovo malware." Conclude Mandiant. "riteniamo che CosmicEnergy rappresenti una minaccia reale per le risorse utilizzate delle reti elettriche".

A questo punto è lecito chiedersi quanto sia vulnerabile il settore industriale nazionale e se questa tipologia di malware possa ben presto diventare uno strumento prezioso negli arsenali di gruppi criminali.

Sicuri nella Rete

Affondano nel Dark Web le radici degli attacchi al settore energetico

di Pierluigi Paganini 19 Maggio 2023

Per fare chiarezza sull'argomento ho intervistato un esperto di sicurezza specializzato nella protezione di sistemi OT, Alessio Rosas OT senior expert in Sicuranext.

Di seguito le sue risposte:

Quanto è complesso sviluppare malware come Cosmicenergy e perché? Siamo in grado oggi di neutralizzare minacce come questa e come?

Sicuramente un malware come quello CosmicEnergy è molto oneroso in termini di risorse e ricerca nello sviluppo e nel testing (non per caso si presuppone che derivi da uno strumento di red teaming utilizzato da una società russa). La complessità nasce dalla ricerca della modalità di automazione per sfruttare al meglio le vulnerabilità "by design" del protocollo industriale target e dei devices OT coinvolti nella Kill chain.

Queste minacce si possono bloccare con una combinazione di monitoraggio del traffico e Threat intelligence, sicuramente oltre che ricerca e sviluppo per ridurre al minimo i punti d'ingresso e di sfruttamento delle vulnerabilità negli assets OT.

Quale è a suo giudizio la situazione italiana e che danni potrebbero arrecare malware come Cosmicenergy? Quali sono i settori più esposti?

Attualmente in Italia si sta cercando di aumentare la consapevolezza della minaccia nell'ambito della sicurezza cyber industriale, ricordiamo che il tessuto economico italiano è composto principalmente da piccole e medie imprese ed è per questo molto critico; Le vulnerabilità e i punti di esposizione nella rete internet sono ancora molti ed in alcuni casi siamo in presenza di falle critiche, parlo per esempio della possibilità di prendere il controllo totale di PLC piuttosto che l'esposizione di sistemi SCADA o HMI, ma anche di server Historian, ScadaServer.

Un malware come quello in questione (che ricalca molto le orme della serie Industroyer) in caso di infezione, potrebbero causare danni seri specialmente ad aziende del settore energia o che comunque utilizzano il protocollo target (IEC-104).

Ad oggi malware come Cosmicenergy sono stati sviluppati esclusivamente da attori nation-state. Ritieni che gruppi dediti al crimine informatico possano iniziare a sviluppare ICS malware per attaccare i nostri sistemi?

Sicuramente sì, molti gruppi criminali, come per esempio le gang ransomware, da tempo si stanno dedicando allo studio dell'ambito ICS, con la creazione anche di prototipi, perché hanno compreso che è un settore che se colpito potrebbe portare dei lauti guadagni.

Sicuramente gli attori nation-state continueranno nello sviluppo di strumenti sofisticati che poi verranno utilizzati dai gruppi cui sopra citati per rimodellare l'attacco, prendendo di mira aziende anche di medie dimensioni.