ESET mette in guardia contro Win32/Industroyer, potente malware in grado di causare danni significativi ai sistemi di alimentazione elettrica.
Industroyer è una minaccia particolarmente pericolosa, in quanto è capace di controllare direttamente gli switch delle sottostazioni elettriche e gli interruttori dei circuiti. Per farlo usa i protocolli di comunicazione industriale progettati decine di anni fa ed usati in tutto il mondo nelle infrastrutture di alimentazione energetica, nei sistemi di controllo dei trasporti, e in altri sistemi di infrastrutture critiche come acqua o gas.
Questi interruttori sono l’equivalente digitale di quelli analogici e tecnicamente possono essere programmati per svolgere varie funzioni, ampliando quindi, potenzialmente, la portata d’azione del malware. Lo stesso tipo di malware è stato utilizzato lo scorso dicembre a Kiev, quando migliaia di cittadini della capitale ucraina sono piombati nell’oscurità in seguito alla mancata erogazione dell’energia elettrica a seguito di un attacco cyber.
L’Industroyer è un malware modulare. Il suo componente principale è una backdoor usata per condurre l’attacco: installa e controlla gli altri componenti e si connette a un server remoto per ricevere dei comandi e fornire rapporti ai criminali.
Notevole da parte del malware è l’utilizzo di quattro componenti della payload che sono stati progettati per poter ottenere il controllo diretto degli switch e degli interruttori di circuito di una sottostazione di distribuzione elettrica. Ognuno di questi componenti si occupa di determinati protocolli di comunicazione specificati nei seguenti standard: IEC 60870-5-101, IEC 60870-5-104, IEC 61850, e OLE for Process Control Data Access (OPC DA).
Generalmente, le routine di infezione lavorano per fasi, i cui obiettivi sono la mappatura della rete, l’individuazione del bersaglio e l’invio dei comandi specifici per i dispositivi di controllo industriale da manomettere.
Le payload dell’Industroyer dimostrano la profonda comprensione dei sistemi di controllo industriale da parte degli autori del malware. Si tratta della più grave minaccia ai sistemi di controllo industriale dai tempi di Stuxn.
