Атаката срещу Boston Scientific показа, че производството може да бъде спряно, без нападателите да достигнат до индустриалните системи за управление. Случаите в Берлин, атаките срещу разработчици и уязвимостта в среди за ИИ автоматизация допълват картината, в която границата между ИТ, OT и свързаните с тях инструменти става все по-условна.
Boston Scientific: пробивът е в ИТ, последствията са в производството
На 22 септември Boston Scientific публикува финалното обобщение на разследването на CrowdStrike за кибератаката от 25 август. Нападателите са получили достъп през мрежово устройство, достъпно от интернет, след което са достигнали до ограничена част от локалната ИТ среда на компанията.
Разследването не е открило доказателства за компрометиране на SCADA системите или на бизнес системите, свързани с поддръжката на производството. Въпреки това производствените операции, обработката на поръчки и доставките са били нарушени в световен мащаб.
Компанията постепенно възстанови производството и изпълнението на поръчките. Съществуващите имплантирани сърдечни устройства не са били засегнати, но са възникнали нарушения при активирането на услугата LATITUDE за дистанционно наблюдение.
Случаят е важен именно заради това несъответствие. Не е необходимо нападателят да получи контрол над производствено оборудване, за да спре производството. Ако критична бизнес система, от която зависят планирането, запасите или изпълнението на поръчките, стане недостъпна, последствията могат да стигнат до производствената площадка.
Публичното разследване не посочва коя конкретна система е станала причина за прекъсването. Затова предположението, че става дума за ERP система или платформа за управление на запасите, остава хипотеза, а не установен факт.
Берлин: изтичането на данни продължава след възстановяването
При атаката срещу администрацията на Берлин проблемът е различен. Според разследването данните са били изнесени от мрежата между 7 и 12 август, а на 14 август две сенатски ведомства са били изолирани от държавната мрежа.
Групата Rhysida пое отговорност и заяви, че е откраднала 5,7 TB данни, които след това предложи за продажба. Берлин отказа да плати откуп. На 4 септември е публикуван първи пакет откраднати данни, а според властите два дни по-късно е последвал втори, съдържащ и идентификационни данни.
Това показва важна особеност при подобни инциденти: възстановяването на работата не означава край на атаката.
Дори когато системите отново функционират, откраднатите документи, списъци с контакти и идентификационни данни могат да бъдат използвани при последващ фишинг, измами с бизнес електронна поща и атаки срещу партньори или доставчици.
Разработчиците се превръщат в нова входна точка
Другият случай прехвърля фокуса от корпоративната инфраструктура към хората, които създават софтуера.
Според Kaspersky иранска група, известна като Nimbus Manticore, е използвала фалшиви предложения за работа и злонамерени задачи за програмиране, за да атакува разработчици. Жертвите са получавали задача за програмиране с кратък срок, като в предоставения архив е бил включен троянизиран софтуерен пакет.
Зловредният код се е намирал в директорията node_modules и се е изпълнявал при зареждането на пакета. Идентифицираните импланти NodeRabbit и PollCat са проектирани да работят под Windows, Linux и macOS.
Причината разработчиците да са ценна цел е ясна: техните устройства могат да съдържат SSH ключове, токени за облачни услуги и достъп до хранилища с програмен код и софтуерни зависимости.
Тук има и важно разграничение. Кампанията с блокчейн-базирана командна инфраструктура и компрометираните бета версии на пакетите Joyfill е отделен случай и не е приписана на Nimbus Manticore. Общият риск обаче е сходен – зловреден код може да се изпълни още при импортирането на пакет, преди стандартните механизми за сигурност да открият проблема.
ИИ платформите също зависят от сигурността на изолираната среда
Последният пример идва от средите за ИИ автоматизация. Endor Labs идентифицира критична уязвимост в isolated-vm – Node.js библиотека, използвана за изпълнение на непроверен код в изолирана среда и интегрирана в платформи за автоматизация и ИИ.
Проблемът позволява на злонамерен код да използва състояние тип time-of-check, time-of-use (TOCTOU), при което проверяваната стойност се променя между две операции. Това може да доведе до повреда на паметта на хост системата и излизане извън границите на изолираната среда.
Корекциите са публикувани на 8 август във версии 7.0.1 и 6.2.0.
Самата уязвимост не е свързана с наблюдавана атака чрез злонамерена задача за програмиране. Комбинацията от двата сценария обаче показва защо ИИ агентите, работните станции на разработчиците и средите за изпълнение на непроверен код трябва да се разглеждат като свързани елементи на една атакуваема повърхност.
Общият проблем е зависимостта между системите
Четирите случая имат различни механизми на проникване, но водят до един и същ извод: оперативният риск вече не може да бъде оценяван само според това дали нападателят е достигнал до контролер, PLC или друга OT система.
В Boston Scientific компрометирането на ИТ средата нарушава производството. В Берлин откраднатите данни остават проблем и след възстановяването на системите. При разработчиците доверен софтуерен пакет може да се превърне във входна точка, а уязвим компонент в изолирана среда може да осигури път към хост системата.
Затова организациите трябва да имат ясна карта на зависимостите между ИТ системите, производствените процеси, средите за разработка, облачните услуги и инструментите за автоматизация. В противен случай нападателят може да открие тези зависимости преди самата организация.
