Investigadores de ciberseguridad han descubierto lo que dicen que es el noveno malware centrado en sistemas de control industrial (ICS) que se ha utilizado en un ciberataque perturbador dirigido a una empresa de energía en la ciudad ucraniana de Lviv a principios de enero.
La empresa de ciberseguridad industrial Dragos ha bautizado el malware como FrostyGoop, describiéndolo como la primera cepa de malware que utiliza directamente las comunicaciones Modbus TCP para sabotear redes de tecnología operativa (OT). La empresa lo descubrió en abril de 2024.
"FrostyGoop es un malware específico para ICS escrito en Golang que puede interactuar directamente con sistemas de control industrial (ICS) utilizando Modbus TCP a través del puerto 502", explican los investigadores Kyle O'Meara, Magpie (Mark) Graham y Carolyn Ahlers en un informe técnico compartido con The Hacker News.
Se cree que el malware, diseñado principalmente para atacar sistemas Windows, se ha utilizado para atacar controladores ENCO con el puerto TCP 502 expuesto a Internet. No se ha vinculado a ningún actor de amenazas o grupo de actividades previamente identificados.
FrostyGoop viene con capacidades para leer y escribir en un dispositivo ICS registros que contienen entradas, salidas y datos de configuración. También acepta argumentos opcionales de ejecución de línea de comandos, utiliza archivos de configuración con formato JSON para especificar direcciones IP de destino y comandos Modbus, y registra la salida en una consola y/o un archivo JSON.
Al parecer, el incidente dirigido contra la empresa municipal de energía urbana provocó la pérdida de los servicios de calefacción de más de 600 edificios de apartamentos durante casi 48 horas.
"Los adversarios enviaron comandos Modbus a los controladores ENCO, causando mediciones inexactas y mal funcionamiento del sistema", dijeron los investigadores en una conferencia telefónica, señalando que el acceso inicial probablemente se obtuvo mediante la explotación de una vulnerabilidad desconocida en un router Mikrotik de acceso público en abril de 2023.
"Los adversarios enviaron comandos Modbus a los controladores ENCO, causando mediciones inexactas y mal funcionamiento del sistema. La solución tardó casi dos días".
Aunque FrostyGoop emplea ampliamente el protocolo Modbus para las comunicaciones cliente/servidor, no es ni mucho menos el único. En abril de 2022, Dragos y Mandiant detallaron otro malware ICS llamado PIPEDREAM (también conocido como INCONTROLLER) que aprovechaba varios protocolos de redes industriales como OPC UA, Modbus y CODESYS para interactuar.
También es el noveno malware centrado en ICS descubierto en la naturaleza después de Stuxnet, Havex, Industroyer (alias CrashOverride), Triton (alias Trisis), BlackEnergy2, Industroyer2, y COSMICENERGY.
La capacidad del malware para leer o modificar datos en dispositivos ICS que utilizan Modbus tiene graves consecuencias para las operaciones industriales y la seguridad pública, dijo Dragos, añadiendo que más de 46.000 dispositivos ICS expuestos a Internet se comunican a través del protocolo ampliamente utilizado.
"El objetivo específico de los ICS que utilizan Modbus TCP a través del puerto 502 y el potencial para interactuar directamente con varios dispositivos ICS plantean una grave amenaza para las infraestructuras críticas en múltiples sectores", dijeron los investigadores.
"Las organizaciones deben priorizar la implementación de marcos integrales de ciberseguridad para salvaguardar las infraestructuras críticas de amenazas similares en el futuro".
Fuente: thehackernews