Κυβερνοεπίθεση σε εταιρεία τεχνολογίας ύδρευσης στις ΗΠΑ: Διέρρευσαν περίπου 850.000 αρχεία, οι υποψίες για το Ιράν

Οι αμερικανικές Αρχές διερευνούν κυβερνοεπίθεση στη Micro-Comm, μια μικρή εταιρεία με έδρα την Ολάθε του Κάνσας, η οποία κατασκευάζει τεχνολογικό εξοπλισμό για επιχειρήσεις ύδρευσης και εγκαταστάσεις επεξεργασίας λυμάτων.

Την επίθεση επιβεβαίωσαν τόσο η εταιρεία όσο και το FBI. Η υπόθεση, η οποία δεν είχε δημοσιοποιηθεί μέχρι σήμερα, αναδεικνύει τις αυξανόμενες απειλές για την κυβερνοασφάλεια κρίσιμων υποδομών στις Ηνωμένες Πολιτείες, αλλά και την πολυπλοκότητα της προστασίας των τοπικών δικτύων ύδρευσης και των προμηθευτών τους.

Την ευθύνη ανέλαβε η Barracuda, μια σχετικά νέα ομάδα ransomware, η οποία υποστηρίζει ότι έχει αποκλειστικά οικονομικά κίνητρα και δεν χρηματοδοτείται από κάποια κυβέρνηση.

Στο Διαδίκτυο περίπου 644 GB δεδομένων

Στις 6 Αυγούστου, η ομάδα ανήρτησε στο Διαδίκτυο υλικό που, σύμφωνα με τους ισχυρισμούς της, περιλαμβάνει σχεδόν 850.000 αρχεία της Micro-Comm, συνολικού όγκου περίπου 644 GB.

Η αμερικανική εταιρεία κατασκευάζει, μεταξύ άλλων, προγραμματιζόμενους λογικούς ελεγκτές, γνωστούς ως PLC. Πρόκειται για υπολογιστικές συσκευές οι οποίες χρησιμοποιούνται για τον έλεγχο μηχανημάτων και αυτοματοποιημένων διαδικασιών σε δίκτυα κρίσιμων υποδομών — στη συγκεκριμένη περίπτωση, σε εγκαταστάσεις επεξεργασίας λυμάτων.

Κατάλογος των αρχείων που συγκέντρωσε η πλατφόρμα έρευνας ηλεκτρονικού εγκλήματος eCrime.ch περιέχει αναφορές σε συγκεκριμένους κρατικούς πελάτες, μεταξύ των οποίων τοπικές Αρχές και μία αμερικανική στρατιωτική εγκατάσταση. Περιλαμβάνει επίσης ονόματα εργαζομένων και πληροφορίες για προϊόντα, όπως τεχνικά διαγράμματα.

Ο Τομ Χέγκελ, ανώτερος ερευνητής απειλών στην εταιρεία κυβερνοασφάλειας SentinelOne, διευκρίνισε ότι η δημοσιοποίηση των αρχείων δεν σημαίνει πως παραβιάστηκε η λειτουργία κάποιου συστήματος ύδρευσης. Προειδοποίησε, ωστόσο, ότι οι πληροφορίες θα μπορούσαν μακροπρόθεσμα να διευκολύνουν άλλους χάκερ να σχεδιάσουν νέες επιθέσεις.

Δεν εντοπίστηκαν κωδικοί πρόσβασης

Ο συνιδιοκτήτης της Micro-Comm, Τζιμ Κόουτ, δήλωσε ότι η εταιρεία εντόπισε την παραβίαση στις 31 Ιουλίου. Όπως ανέφερε, τα αρχεία που δημοσιοποιήθηκαν δεν περιείχαν ευαίσθητες πληροφορίες, όπως ονόματα χρηστών, κωδικούς ή άλλα διαπιστευτήρια πρόσβασης. Τα στοιχεία αυτά αποθηκεύονται από τον εκάστοτε πελάτη. Δεν περιλαμβάνονταν, επίσης, δεδομένα τα οποία θα μπορούσαν να συνδέονται με τη δυνατότητα της Micro-Comm να αποκτά απομακρυσμένη πρόσβαση στις συσκευές της.

Σε ενημερωτικό δελτίο που απέστειλε στους πελάτες της στις 8 Αυγούστου, η εταιρεία έκανε λόγο για περιορισμένη επίθεση κακόβουλου λογισμικού, υποστηρίζοντας ότι όσες ευαίσθητες πληροφορίες περιέχονταν στα αρχεία ήταν κρυπτογραφημένες.

Η Micro-Comm συνέστησε, πάντως, στους πελάτες της να αλλάξουν τους κωδικούς πρόσβασής τους, ως προληπτικό μέτρο.

Σύμφωνα με την εταιρεία παρακολούθησης του Διαδικτύου Censys, περίπου 200 συστήματα SCADAview CSX της Micro-Comm που χρησιμοποιούνται σε αμερικανικές πολιτείες είναι προσβάσιμα μέσω του Διαδικτύου. Το SCADAview CSX αποτελεί ένα από τα προϊόντα της εταιρείας για την εποπτεία και τον έλεγχο εγκαταστάσεων.

Το FBI μιλά για ευκαιριακή επίθεση

Ο εκπρόσωπος του γραφείου του FBI στο Κάνσας Σίτι, Ντίξον Λαντ, ανέφερε ότι η ομοσπονδιακή υπηρεσία βρίσκεται σε επικοινωνία με τη Micro-Comm και συντονίζεται με άλλες διωκτικές Αρχές για τη διερεύνηση της υπόθεσης. Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ, γνωστή ως CISA, παρέπεμψε τα σχετικά ερωτήματα στην εταιρεία.

Σύμφωνα με τον Τζιμ Κόουτ, το FBI ενημέρωσε τη Micro-Comm ότι επρόκειτο για ευκαιριακή κυβερνοεπίθεση και όχι για επιχείρηση που είχε σχεδιαστεί ειδικά εναντίον της. Η εταιρεία τόνισε, επίσης, ότι η παραβίαση «δεν σχετίζεται με κανέναν τρόπο με τις επιθέσεις σε συστήματα ύδρευσης που μεταδίδονται αυτήν την περίοδο στις ειδήσεις».

Οι επιθέσεις που αποδίδονται σε ιρανική εκστρατεία

Η παραβίαση της Micro-Comm σημειώθηκε την ίδια περίοδο με ένα κύμα κυβερνοεπιθέσεων στα τέλη Ιουλίου, οι οποίες έθεσαν στο στόχαστρο προγραμματιζόμενους λογικούς ελεγκτές στη Μινεσότα και σε τουλάχιστον έξι ακόμη αμερικανικές πολιτείες.

Ειδικοί στην κυβερνοασφάλεια εκτιμούν ότι εκείνες οι επιθέσεις αποτελούν τμήμα μιας μακροχρόνιας κυβερνοεκστρατείας που συνδέεται με το Ιράν. Μέχρι στιγμής, όμως, δεν υπάρχουν ενδείξεις ότι η επίθεση στη Micro-Comm εντάσσεται στην ίδια επιχείρηση.

Στις 30 Ιουλίου, το FBI και η CISA είχαν προειδοποιήσει ότι χάκερ στοχοποιούσαν PLC που κατασκευάζονται από την αμερικανική Rockwell Automation, τη γαλλική Schneider Electric και τη γερμανική Siemens.

Στις 19 Αυγούστου, η CISA ανακοίνωσε ότι οι δράστες χρησιμοποιούσαν εργαλεία τεχνητής νοημοσύνης προκειμένου να διευκολύνουν τις επιθέσεις τους σε εξοπλισμό της Siemens. Η γερμανική εταιρεία δήλωσε στη συνέχεια ότι συνεργάζεται με την αμερικανική υπηρεσία και διαβεβαίωσε πως τα προϊόντα της είναι ασφαλή.

Οι δύο παράλληλες υποθέσεις καταδεικνύουν την έκταση της πρόκλησης που αντιμετωπίζουν οι Ηνωμένες Πολιτείες στην προσπάθεια προστασίας των ψηφιακών συστημάτων που είναι ενσωματωμένα στις κρίσιμες υποδομές της χώρας — όχι μόνο στις ίδιες τις εγκαταστάσεις, αλλά και στο ευρύτερο δίκτυο των εταιρειών που τις προμηθεύουν και τις υποστηρίζουν.