インターネットに公開されたプログラマブルロジックコントローラー(PLC)を標的とする連携型サイバー攻撃キャンペーンが、米国全土の上下水道事業の運用に混乱を引き起こしており、公開された運用技術(OT)の脆弱性に対する懸念が高まっています。
ソフトウェア脆弱性データベース
今回の一連の事案は、公衆からアクセス可能な産業用コントローラーが、攻撃者による設定変更やシステム可視性の妨害、重要インフラサービスへの影響につながり得ることを浮き彫りにしています。
ハッカーがインターネット公開されたRockwell製PLCを標的に
7月28日、ミネソタ州IT部門は30以上の水道システムに対する攻撃を報告しました。水質の低下は報告されていないものの、複数の自治体が運用上の影響を確認しています。
Brahamでは、攻撃者がワイヤレス接続経由で配信されたマルウェアを使用し、浄水場の制御システムを停止させたと報告されています。Plymouthでは、影響を受けた給水塔と下水道の中継ポンプ場がセルラー接続に依存していました。
FBIと環境保護庁(EPA)はその後、7月27日以降、少なくとも12州の上下水道事業者が同様の攻撃の影響を受けたと警告しました。
脅威アクターはRockwell Automation/Allen-Bradley社製のMicroLogix 1100およびMicroLogix 1400のPLCを標的とし、IPアドレスとパスワードを遠隔から変更することで、正規の運用担当者を監視・制御機能から締め出したと報告されています。少なくとも1件の被害では、PLCロジックへの不正な改変が発生しました。
Forescout社のVedere Labsが特定したところによると、産業用プロトコルEtherNet/IPで使用されるポート44818を公開しているRockwell Automation/Allen-Bradley製コントローラーは4,407台に上ります。このうち65%が米国内に所在し、次いでカナダが12%、スペインが3%となっています。
公開されているコントローラーの数は、2020年3月時点の7,814台から2026年6月には4,169台へと47%減少しているものの、残存する台数は依然として大きな攻撃対象領域(アタックサーフェス)を形成しています。
米国内で公開が確認されたデバイスの70%以上が大手モバイルキャリアのネットワーク上で見つかっており、OT接続にセルラールーターが広く使用されていることがうかがえます。
MicroLogix 1400デバイスが公開デバイス全体の50%を占め、次いでCompactLogix 1769システムが22%となっています。MicroLogix 1100とControlLogix 5590はそれぞれ観測されたホストの約8%を占めています。
研究者らは、今回のキャンペーンの影響を受けた都市において、公開状態にあるシステムを22件確認しました。ただし、これらの特定のデバイスが侵害されたことを裏付ける証拠はありません。
今回の一連の攻撃における初期侵入経路として特定のCVEが確認されたわけではありません。しかし、Forescoutの調査によると、影響を受けた都市で公開が確認された22台のホストのうち19台が、MicroLogix 1400のサービス拒否(DoS)の脆弱性であるCVE-2017-16740の影響を受けやすい状態にあることが判明しました。ただし、この脆弱性の悪用にはModbus TCPが有効になっている必要があり、当該サービスの公開状況自体は確認されていません。
その他のリスクとしては、旧式のファームウェア、ハードコードされたSNMPコミュニティ文字列、平文の認証情報、脆弱なパスワード保護、そしてサポート終了(EOL)資産が挙げられます。RockwellはMicroLogix 1100を2022年4月に製造終了としており、同製品ファミリーの運用者は今後パッチの提供を受けられません。
研究者らはまた、期限切れの証明書、放置されたリモートアクセス基盤、更新されていない公益事業関連のホスト名なども確認しており、資産管理台帳の不備がPLC以外にも及んでいる可能性を示しています。
水道事業者は、PLCをインターネットから直接アクセス可能な状態から即座に切り離し、EtherNet/IPおよびModbus TCPについては明示的な許可リスト(アローリスト)による制限を行う必要があります。
安全なリモートアクセス用ゲートウェイやVPNの導入、個別アカウントの発行、多要素認証(MFA)の導入、ネットワークセグメンテーション、そして未使用の管理サービスの無効化を重要な対策として実施することが不可欠です。
組織はまた、コントローラープログラムのオフラインバックアップを保持し、PLCへの書き込みやモード変更を監視し、セルラーゲートウェイやリモートアクセスサービスを監査し、サポート対象外デバイスの更新計画を策定すべきです。確認された悪用事例の有無にかかわらず、産業用コントローラーを公衆インターネットに直接公開することは依然として危険です。
ハッキング&クラッキング
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/hackers-target-internet-exposed-rockwell-plcs/
