Проруският хактивистки колектив TwoNet демонстрира бърз преход от традиционни DDoS атаки към насочени операции срещу критична инфраструктура, показва ново наблюдение на специалисти по киберсигурност.

През септември групата заяви, че е извършила атака върху водно пречиствателно съоръжение, което обаче се оказа реален honeypot, създаден от изследователи с цел наблюдение на действията на нападателите.

Как се разви атаката

Според Forescout, компания за киберсигурност, проследяваща активността на TwoNet в симулираното съоръжение:

• Първоначален достъп е постигнат в 8:22 ч., като нападателите са използвали дефолтни потребителски акаунти.

• През първия ден хакерите успяват да изброят базите данни след повторен опит с правилните SQL заявки.

• Създаден е нов акаунт с името Barlati, а присъствието им е обявено чрез XSS уязвимост (CVE-2021-26829), която показва съобщение „Hacked by Barlati“ на HMI интерфейса.

• TwoNet се фокусира върху уеб приложението на HMI, без да се опитва за ескалация на права на хост системата.

Нападателите също така изключват реално време на PLC връзките, променят HMI сетпойнтите и деактивират логовете и алармите, което е потенциално разрушително за процесите в реална инфраструктура.

Последното влизане на групата е засечено на 11:19 ч. на следващия ден.

Разширяване на активността

Първоначално TwoNet се фокусира върху DDoS атаки срещу организации, подкрепящи Украйна. Сега групата показва интерес към:

• HMI и SCADA интерфейси на критична инфраструктура във „вражески държави“.

• Публикуване на лични данни на служители от разузнаване и полиция.

• Предлагане на киберпрестъпни услуги, включително RaaS, „хакер под наем“ и първоначален достъп до SCADA системи в Полша.

Според Forescout, този модел наподобява други групи, които се трансформират от традиционни DDoS и defacement операции към OT/ICS атаки.

Препоръки за защита

Forescout подчертава, че критичната инфраструктура трябва да прилага следните мерки:

• Силна автентикация и минимизиране на експозицията към публичната мрежа.

• Сегментиране на продукционната мрежа и контрол на достъпа до административните интерфейси чрез IP-базирани листи.

• Протоколно осведомена детекция, която сигнализира при опити за експлоатация или промени в HMI интерфейса.

Тези стъпки значително намаляват риска от успешни прониквания и потенциални разрушителни действия.