Un nouveau ransomware révèle des vulnérabilités critiques dans les systèmes de contrôle industriels

Une équipe de chercheurs du Georgia Institute of Technology (Atlanta) a développé un nouveau type de ransomware capable de prendre le contrôle d'une station de traitement d'eau simulée lors d'un test récent.

Après avoir obtenu l'accès, les chercheurs ont pu commander des automates programmables (PLC) pour fermer des vannes, augmenter la quantité de chlore ajoutée à l'eau et afficher de fausses lectures. Cette attaque simulée, conçue pour mettre en évidence les vulnérabilités des systèmes de contrôle utilisés pour exploiter des installations industrielles, y compris les usines de fabrication, les stations de traitement d'eau et d'eaux usées, et les systèmes de gestion de bâtiments pour contrôler escaliers mécaniques, ascenseurs et systèmes CVC, serait la première à démontrer la compromission de vrais PLC par un ransomware, selon l'équipe de Georgia Tech.

La recherche a été présentée le 13 février à la conférence RSA à San Francisco.

Bien qu'aucune attaque réelle de ransomware n'ait été signalée publiquement sur les composants de contrôle de processus des systèmes de contrôle industriels, ces attaques sont devenues un problème majeur pour les données patients dans les hôpitaux et les données clients dans les entreprises. Les attaquants peuvent accéder à ces systèmes et chiffrer les données, exigeant une rançon pour fournir la clé de déchiffrement permettant de réutiliser les données. Les chercheurs ont noté que les ransomwares ont généré environ 200 millions de dollars pour les attaquants au premier trimestre 2016, et ils estiment qu'il ne s'agit que d'une question de temps avant que des systèmes industriels critiques ne soient compromis et retenus pour rançon.

« Nous nous attendons à ce que les ransomwares aillent une étape plus loin, au-delà des données clients pour compromettre les systèmes de contrôle eux-mêmes », a déclaré David Formby, doctorant à l'École d'ingénierie électrique et informatique de Georgia Tech. « Cela pourrait permettre aux attaquants de prendre en otage des systèmes critiques tels que les stations de traitement d'eau et les installations de fabrication. La compromission des PLC dans ces systèmes est une prochaine étape logique pour ces attaquants. »

De nombreux systèmes de contrôle industriels manquent de protocoles de sécurité robustes, a noté Raheem Beyah, professeur à la Motorola Foundation et vice-président associé à l'École d'ingénierie électrique et informatique et conseiller de Formby. C'est probablement parce que ces systèmes n'ont pas été ciblés par des ransomwares jusqu'à présent, et parce que leurs vulnérabilités peuvent ne pas être bien comprises par leurs opérateurs.

Dans leur recherche, Formby et Beyah ont utilisé un programme de recherche spécialisé pour localiser 1 400 PLC d'un seul type directement accessibles sur Internet. La plupart de ces appareils se trouvent derrière des systèmes d'entreprise qui offrent un certain niveau de protection — jusqu'à ce qu'ils soient compromis. Une fois que les attaquants pénètrent dans un système d'entreprise, ils pourraient pivoter pour entrer dans les systèmes de contrôle s'ils ne sont pas correctement cloisonnés.

« De nombreux systèmes de contrôle supposent qu'une fois que vous avez accès au réseau, vous êtes autorisé à apporter des modifications aux systèmes de contrôle », a déclaré Formby. « Ils peuvent avoir des politiques de mots de passe et de sécurité très faibles qui pourraient permettre à des intrus de prendre le contrôle de pompes, vannes et autres composants clés du système de contrôle industriel. »

Dans la plupart des cas, les systèmes de contrôle n'ont pas été conçus pour se connecter à Internet, et de nombreux utilisateurs de ces systèmes supposent qu'ils ne sont pas sur le réseau public et donc pas vulnérables aux attaques, ont ajouté les chercheurs. Les systèmes de contrôle peuvent également avoir des connexions inconnues des opérateurs, y compris des points d'accès installés pour permettre la maintenance, le dépannage et les mises à jour.

« Il existe des idées fausses courantes sur ce qui est connecté à Internet », a déclaré Formby. « Les opérateurs peuvent croire que leurs systèmes sont isolés (air-gapped) et qu'il n'y a aucun moyen d'accéder aux contrôleurs, mais ces systèmes sont souvent connectés d'une manière ou d'une autre. »

Pour lancer la recherche, les chercheurs ont identifié plusieurs PLC courants utilisés dans les installations industrielles. Ils ont obtenu trois appareils différents et testé leur configuration de sécurité, y compris la protection par mot de passe et la susceptibilité aux modifications de paramètres. Les appareils ont ensuite été combinés avec des pompes, des tubes et des réservoirs pour créer une station de traitement d'eau simulée. À la place du chlore normalement utilisé pour désinfecter l'eau, les chercheurs ont utilisé de l'iode. Ils ont également ajouté de l'amidon à leur alimentation en eau, qui devenait bleu vif lorsqu'une attaque simulée y ajoutait de l'iode.

« Nous avons pu simuler un pirate qui avait obtenu l'accès à cette partie du système et la retenait en otage en menaçant de déverser de grandes quantités de chlore dans l'eau à moins que l'opérateur ne paie une rançon », a déclaré Formby. « À la bonne dose, le chlore désinfecte l'eau et la rend potable. Mais trop de chlore peut créer une réaction néfaste qui rendrait l'eau impropre à la consommation. »

Les vulnérabilités dans les systèmes de contrôle sont connues depuis plus d'une décennie, ont noté les chercheurs, mais jusqu'à l'essor des ransomwares, les attaquants n'avaient pas pu en tirer profit financièrement. À mesure que d'autres cibles de ransomwares deviennent plus difficiles, Beyah pense que les attaquants pourraient se tourner vers des cibles plus faciles dans les systèmes de contrôle industriels.

« Il est fort probable que des opérateurs d'État-nation soient déjà familiers avec cela et disposent d'attaques qu'ils pourraient utiliser à des fins politiques, mais les attaquants ordinaires n'avaient aucun intérêt pour ces systèmes », a-t-il dit. « Ce que nous espérons faire, c'est attirer l'attention sur ce problème. Si nous pouvons attaquer avec succès ces systèmes de contrôle, d'autres avec de mauvaises intentions peuvent aussi le faire. »

Outre l'amélioration de la sécurité des mots de passe et la limitation des connexions, Beyah a déclaré que les opérateurs de ces appareils doivent installer des systèmes de surveillance d'intrusion pour les alerter si des attaquants se trouvent dans les réseaux de contrôle. Beyah et Formby ont lancé une entreprise pour rendre leurs stratégies de protection des systèmes largement disponibles aux opérateurs de systèmes de contrôle.

DuPont décerne des subventions de début de carrière

DuPont (Wilmington, DE) a nommé huit jeunes membres du corps professoral à sa promotion 2016 des jeunes professeurs DuPont. Reconnaissant les talents de recherche prometteurs, l'entreprise fournira à ce groupe de professeurs internationaux plus de 350 000 $ au cours des deux prochaines années pour soutenir leurs recherches qui font avancer les connaissances scientifiques fondamentales pour relever les défis mondiaux en matière d'alimentation, d'énergie et de protection.

La promotion 2016 des jeunes professeurs DuPont est engagée dans des recherches prometteuses dans des domaines d'intérêt clés pour DuPont, notamment la biologie végétale, la biotechnologie, la science des matériaux, le photovoltaïque et le génie chimique. Ces intérêts sont hautement alignés avec les priorités stratégiques de DuPont en matière d'innovation basée sur la science dans les domaines de l'agriculture et de la nutrition, des industriels bio-sourcés et des matériaux avancés.

« La recherche et le développement deviennent plus interconnectés que jamais. Le programme Jeunes Professeurs DuPont est un excellent moyen de renforcer à la fois la recherche académique et la collaboration industrielle en soutenant de jeunes professeurs prometteurs », a déclaré Douglas Muzyka, vice-président senior et directeur de la science et de la technologie de DuPont. « Les interactions avec ces chercheurs stimuleront davantage la créativité des scientifiques et ingénieurs de DuPont menant des recherches de pointe. »

Géré par l'organisation Science et Innovation de DuPont, le programme aide les jeunes professeurs de recherche prometteurs et non titularisés à démarrer leur carrière de recherche. De plus, il soutient l'objectif stratégique de DuPont d'élargir et d'étendre les horizons commerciaux de DuPont grâce à l'avancement de sciences émergentes originaires de l'intérieur de l'entreprise ainsi que de ses partenaires de recherche. Le programme remonte à 1918, lorsque Pierre S. du Pont a sélectionné 42 universités aux États-Unis et a fourni des subventions soutenant de jeunes professeurs. Depuis 1968, ce programme a fourni plus de 50 millions de dollars en subventions à plus de 700 jeunes professeurs dans 150 institutions dans 19 pays.

Les membres de la promotion 2016 des jeunes professeurs DuPont sont des scientifiques clés au sein de huit universités de premier plan à travers le monde. Les prix 2016 ont été décernés aux jeunes professeurs prometteurs suivants :

• Rupert J. Baumgartner, Institute of Systems Sciences, Innovation and Sustainability Research, Université de Graz, Autriche ;
• Shelley Claridge, départements de chimie et de génie biomédical, Université Purdue ;
• Candice Hirsch, département d'agronomie végétale et de génétique végétale, Université du Minnesota ;
• Tengfei Luo, ingénierie aérospatiale et mécanique, Université Notre Dame ;
• Peter Nemes, département de chimie, Université George Washington ;
• Fabien Sorin, Institute of Materials, École Polytechnique Fédérale de Lausanne (EPFL), Suisse ;
• Ana Velez, département d'entomologie, Université du Nebraska-Lincoln ;
• Jia Zhu, College of Engineering and Applied Sciences, Université de Nankin, Chine.

TechFront est édité par le rédacteur en chef principal Patrick Waurzyniak.