米政府は、イラン系ハッカーによる重要インフラ組織への攻撃について説明する最近のサイバーセキュリティ勧告を更新し、ハッカーがSiemens、Schneider Electric、Rockwell Automation製の産業制御システム(ICS)を標的にしていると警告しました。
この勧告は4月上旬に最初に公開されたもので、当時、連邦機関はイランのハッカーが政府サービス・施設、エネルギー、上下水道の各セクターの組織で運用技術(OT)デバイスを標的とした破壊的な攻撃を行っていると発表していました。
当時、勧告を発表した各機関は、脅威グループがインターネットに露出したプログラマブルロジックコントローラー(PLC)をハッキングしたと説明し、Rockwell Automation製のAllen-Bradleyデバイスの名前を挙げていました。
ハッカーは悪意のあるPLCプロジェクトファイルを使用し、ヒューマンマシンインターフェース(HMI)や監視制御・データ収集(SCADA)システムに表示されるデータを改ざんしていました。
7月22日に公開された更新版の勧告では、イランのAPT攻撃者に標的とされたPLCベンダーのリストにSchneider ElectricとSiemensが追加され、他社製のデバイスも標的とされている可能性があると指摘されています。
米国内のある被害者のケースでは、FBIの捜査官が、攻撃者が構成ソフトウェアを使用して悪意のあるプロジェクトファイルをPLCにダウンロードしていたことを発見しました。
更新された勧告では、「分析の結果、このプロジェクトファイルには下流機能のためのラダーロジックが維持されていたものの、被害者環境で安全な運用パラメータを維持する役割を担う特定の命令セットを上書きするロジックが追加されていたことが判明しました」と説明されています。
捜査官らは、Rockwell AutomationのCompactLogixおよびMicro850、Schneider ElectricのModicon M340(BMX P34)、SiemensのS7-1200シリーズのPLCに対する攻撃を把握しています。
攻撃はポート44818、2222、102、502、22を標的とし、ハッカーはメーカーのプログラミングソフトウェア経由で脆弱なPLCに接続し、サードパーティがホストするインフラをリースして利用していました。
APTが標的としたベンダーの構成ソフトウェアには、Rockwell AutomationのStudio 5000 Logix Designer、Schneider ElectricのEcoStruxure Control Expert、SiemensのTIA Portalが含まれます。
更新された勧告によると、ハッカーはPLCプロジェクトファイルを抽出して窃取した後、そのファイル内のロジックを改変・削除しました。攻撃者はアドオン命令を組み込み、HMIおよびSCADAディスプレイ上のデータを改ざんしました。
「さらに、この改変によって重要なシャットダウンおよびアラームロジックが無効化され、システムが異常をオペレーターに通知することなく安全でない状態に陥る可能性がありました」と勧告は指摘しています。
今回の勧告には、悪意のある活動を検知するための新たなガイダンスと、更新された侵害指標(IoC)も追加されています。
ICS/OTを標的とするイランのハッカーグループ
イラン政府は、ICS/OTを標的とした攻撃の多くをハクティビストのペルソナを使って実行してきました。CyberAv3ngersという名前のグループは、こうしたシステムへの攻撃で過去数年にわたり大きな話題となってきました。
今年に入ってからは、Handalaという名前のグループが台頭しており、米国の医療技術大手Strykerへの大規模な破壊的攻撃を皮切りに活動を活発化させています。
先月には、Handalaはカリフォルニア・ウォーター・サービス(Cal Water)が保有するシステムをハッキングした後、水道供給を妨害できたはずだと主張しました。
ハッカー側の声明はICSへの深いアクセスを得ていたことを示唆していましたが、この水道事業者は自社のOT環境における活動の証拠は一切見つからなかったとしています。
サイバー攻撃者はかつて、露出しておりセキュリティ対策が不十分なICSを主な標的としていましたが、今回明らかになった内容は、攻撃者の能力が着実に向上していることを示しており、組織が防御体制を常に最新の状態に保ち、先を見越した対策を講じる必要性を改めて浮き彫りにしています。
