روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛تیم امنیتی سیستم های کنترل صنعتی لابراتوار کسپرسکی  (Kaspersky Lab ICS CERT) نتایج تحقیقات خود را در مورد چشم انداز تهدیدات برای  سیستم های اتوماسیون صنعتی در شش ماه اول سال 2017 منتشر ساخت.

تمام داده های آماری در این گزارش با استفاده از شبکه ی امنیت کسپرسکی (KSN)، یک شبکه ی آنتی ویروس توزیع گردید. این داده ها از طرف کاربران KSN که برای دسترسی به داده های ناشناس از رایانه های خود رضایت کامل داشته اند، دریاقت شده است.

داده هایی که از رایانه های محافظت شده توسط راهکارهای لابراتوار کسپرسکی دریافت شد، توسط ICS CERT کسپرسکی به عنوان بخشی از زیرساخت های صنعتی در سازمان ها طبقه بندی شده است. این گروه شامل ویندوز کامپیوترهایی است که یک پلتفرم یا چندین توابع زیر را اجرا می کند:

• کنترل و نظارت و کسب اطلاعات (SCADA) سرورها؛
• سرورهای ذخیره ی داده ها؛درگاه داده ها؛
•  ایستگاه های کاری ثابت مهندسان و اپراتورها؛
• ایستگاه های کارِ تلفن همراه مهندسین و اپراتورها؛
• رابط ماشین انسان؛

این گروه همچنین شامل رایانه های کارکنان در سازمان های پیمان کار و رایانه های مدیران شبکه های کنترل صنعتی و توسعه دهندگان نرم افزارهایی هستند که نرم افزار اتوماسیون صنعتی را شامل می شوند.

رویدادهای اصلی

در ماه آوریل گروه هکرهای Shadow Brokers به آرشیو امنیت ملی (NSA) با استفاده از اکسپلویت ها و ابزارهای حمله دسترسی یافتند.

در ابتدا Shadow Brokers در تلاش بودند تا بتوانند آرشیو به سرقت رفته را به فروش برسانند. اما چندی بعد بیشتر آرشیوها انتشار یافت. داده هایی که به صورت عمومی منتشر شده بودند شامل اکسپلویت هایی می شد که برای تجهیزات شبکه ها و روترها، سیستم های بانکی، سیستم های یونیکس، نسخه های مختلف ویندوز مورد استفاده قرار گرفته بود. برخی از آسیب پذیری های منتشر شده قبلا به صورت آسیب پذیری های صفر روزه منتشر شده بودند.

در ماه ژوئن سال 2017، نتایج تحقیقات مربوط به بدافزار CrashOverride/Industroyer منتشر شد. کارشناسان امنیتی ESET ،  Dragos  و همچنین تعداد زیادی از محققان مستقل به این نتیجه رسیدند که این بدافزار به منظور جلوگیری از کارکرد سیستم های کنترل صنعتی (ICS)، به ویژه ایستگاه های الکتریکی طراحی شده است.

CrashOverride/Industroyer قادر به کنترل مستقیم سوییچ ها و قطع کننده های مدار در مدار ایستگاه های الکتریکی بود.

کارشناسان امنیتی  ICS CERT در گزارش خود اعلام کردند که در کسب و کارها، ایمیل ها توسط مجرمان نیجریه مورد هدف قرار گرفته بود و این حمله در درجه ی اول شرکت های حمل و نقل و تدارکات صنعتی بزرگ را مورد حمله قرار داده بود. با توجه به حملاتی که توسط لابراتوار کسپرسکی بررسی می شود، شرکت های صنعتی بیش از 80 درصد قربانیان بالقوه را شامل می شوند. طبق یافته های کسپرسکی، در مجموع بیش از 500 کمپانی در بیش از 50 کشور مورد حمله ی مجرمان قرار گرفتند. 

خبر بسیار مهمی که در شش ماه اول سال 2017 توجه همه را به خود جلب کرد، ریزش آرشیو اطلاعات یک واحد ویژه آژانس مرکزی در آمریکا بود. این آرشیو اطلاعات حاوی اطلاعاتی در مورد ابزارهای هکری سیا از جمله اکسپلویت های صفر روزه، ابزار دسترسی از راه دور و اسناد مربوطه بود. بخشی از این آرشیو در WikiLeaks منتشر شد.

باج افزارها تهدیدات قابل توجهی برای کمپانی ها به خصوص شرکت های صنعتی محسوب می شوند. این گونه از ویروس ها برای کمپانی هایی که زیرساخت های حیاتی و با ارزش دارند یک تهدید همیشگی و البته خطرناک محسوب می شوند زیراکه فعالیت بدافزارها می تواند فرآیندهای صنعتی را به راحتی مختل کنند.

در طی شش ماه اول سال 2017، حملات توسط باج افزارهای رمزنگار با 33 گونه ی مختلف باعث مسدود شدن کامپیوترهای ICS شدند. خوشبختانه در بین نمونه های مخرب شناسایی شده ما هیچ برنامه ی خاصی را که برای مسدود کردن نرم افزارهای اتوماسیون صنعتی طراحی شده باشد را پیدا نکردیم. 

بر اساس تعداد سیستم های مورد حمله واقع شده، باج افزار واناکرای در نیمه ی اول سال 2017، بالاترین رتبه را کسب کرد. این در حالی است که 13.4 درصد از تمام کامپیوترهای موجود در زیرساخت های صنعتی مورد حمله ی این باج افزار و رمزنگاری آن قرار گرفته بودند.

ما علت شیوع و موفق بودن عفونت های واناکرای را خطا در پیکربندی شبکه های معمولی می دانیم. محققان ما تمام مسیرهای آلوده را آنالیز کردند و به این نتیجه رسیدند که سیستم های اتوماسیون صنعتی می توانند توسط باج افزارهایی نظیر واناکرای از طریق شبکه ی محلی و اتصالات وی پی ان مورد حمله قرار بگیرند.

آمار تهدیدات

در نیمه ی اول سال 2017، راهکارهای امنیتی لابراتوار کسپرسکی 37.6% از کامپیوترهای ICS محافظت شده را در برابر حملات متعدد محافظت و تلاش های مکرر مجرمان را مسدود ساختند که این رقم 1.6 درصد از نیمسال دوم سال 2016 کمتر است. در ماه ژانویه ما شاهد وقوع فعالیت های مکرر مجرمان بودیم و پس از آن این تعداد به حد معمول خود رسید و سپس به تدریج از ماه آوریل تا ژوئن از تعداد آن ها کاسته شد.

از لحاظ موارد استفاده و فناوری های قابل کاربرد، شبکه های صنعتی به طور فزاینده ای شباهت بسیار زیادی با شبکه های شرکت های بزرگ دارند. در نتیجه چشم انداز تهدید برای سیستم های صنعتی مشابه چشم انداز تهدید برای سیستم های شرکت های بزرگ هستند.

در نیمه ی اول سال 2017 حدود 18000 گونه ی اصلاح شده ی بدافزار متعلق به 2500 خانواده بر روی سیستم های اتوماسیون صنعتی شناسایی شد. در این مدت تلاش های مداوم برای دانلود نرم افزارهای مخرب از طریق اینترنت یا دسترسی به منابع مخرب وب و فیشینگ ها در 20.4% از کامپیوترهای ICS مسدود شد.

برای کامپیوترهایی که بخشی از زیرساخت های صنعتی هستند، اینترنت منبع اصلی عفونت محسوب می شود. عنوان های مشارکتی عبارت اند از رابط بین شبکه های شرکتی و صنعتی، دسترسی سیستم ها به اینترنت، اتصال کامپیوترها به شبکه، موبایل ها، مودم، USB و وای فای می تواند زیرساخت یک مجموعه را به خطر بیاندازد.

تروجان های در قالب ویندوز (Win32/Win 64) توانستند فایل های اجرایی بیش از 50 درصد رایانه های مورد حمله را مسدود کنند. به جای توسعه ی یک فایل اجرایی، مجرمان اغلب قابلیت های مخرب را با استفاده از یک زبان اسکریپت که قبلا بر روی سیستم قربانیان توسط خود مجرمان نصب شده است، اجرا می کنند. رتبه بندی پلتفرم هایی از جمله ویندوز که توسط بدافزارها مورد استفاده قرار گرفته است، در تصویر زیر قابل مشاهده است.

توجه داشته باشید که مجرمان اغلب از بازکننده های کوچک نوشته شده (لودر) در جاوااسکریپت، Visual Basic Script یا پاورشل که با استفاده از پارامترهای خط فرمان برای کاربران و اشخاص مربوطه راه اندازی می شود، استفاده می کنند.

منبع: کسپرسکی آنلاین(ایدکو)

کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکی، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.