A localização do utilitário não foi revelada, e seu nome foi alterado no relatório da Verzion, mas, dada as circunstâncias do envolvimento da Verizon, isso provavelmente aconteceu nos Estados Unidos – todos os outros incidentes discutidos no relatório vinculado no artigo do The Register tiveram lugar na América. E nós sabemos que os jihadistas têm muita vontade de envenenar o abastecimento de água. Já em 2002, os federais prenderam dois jihadistas que tinham planos sobre como envenenar o abastecimento de água. Em 2003, a Al-Qaeda ameaçou envenenar o abastecimento de água nos países ocidentais. Em 2011, um jihadista na Espanha tentou do mesmo modo envenenar o abastecimento de água.
Em maio de 2013, sete muçulmanos “engenheiros químicos” foram apanhados invadindo o reservatório de Qabbin, uma fonte de água chave para Boston, depois da meia-noite. Apenas alguns meses mais tarde e, indiretamente, soubemos que “era um assunto criminal”. Um mês depois, fechaduras foram cortadas no aqueduto que abastece de água Grande Boston.
Também em Maio de 2013, jihadistas foram capturados no Canadá, quando estavam tentando envenenar a água para matar até 100.000 pessoas. Em Outubro de 2013, o FBI estava investigando um apossível ameaça ao abastecimento de água em Wichita. Em Janeiro de 2014, um muçulmano invadiu uma estação de tratamento de água em Nova Jersey.
Estação de tratamento de água cortado, mistura química mudou o abastecimento
Por John Leyden,
Hackers se infiltraram no sistema de controle duma abastecedora de água e mudaram os níveis de produtos químicos utilizados para tratar a água de torneira.
O Ciberataque foi documentado no relatório de violação de segurança TI deste mês, de soluções de segurança da Verizon. O utilitário em questão referido está usando um pseudônimo, Kemuri Water Company, e sua localização não foi revelada.
Um grupo “hacktivist” com laços com a Síria comprometeram computadores da companhia Kemuri Water após explorar suas vulnerabilidades não corrigidas no seu webiste voltado ao pagamento dos clientes via internet.
O hack – que envolveu a injeção de SQL e pishing (denominação para um tipo de atividade de fraude) – exposto no sistema operacional envelhecido que utiliza um 400 AS/da KWC porque as credenciais de login para o AS/400 foram armazenados no servidor de web. Este sistema, que foi conectado à internet, consegue controladores lógicos programáveis (PLCs) que controlam as válvulas reguladoras dos dutos de fluxo de água e de produtos químicos utilizados para tratá-la através do sistema.
Muitas funções críticas de TI e sistemas operacionais de tecnologia acontecem em um único sistema AS400, concluiu posteriormente uma equipe de peritidos forenses de computador da Verizon.
Nossa análise forense revelou uma ligação com o padrão recente de entrada não autorizada [invasão]. Usamos as mesmas credenciais encontradas no servidor de web de pagamento, os autores das ameaças foram capazes de interagir com a aplicação do controle de válvula e o fluxo dos distritos de água, também em execução no sistema AS400. Nós também descobrimos quatro conexões separadas durante um período de 60 dias, levados até o nosso assement.During, nessas conexões, os autores das ameaças modificaram configurações do aplicativo com pouco conhecimento aparente de como o sistema de controle de fluxo funciona. Em pelo menos dois casos, eles conseguiram manipular o sistema para alterar a quantidade de produtos químicos que entram no abastecimento de água, e assim, o tempo da recuperação para repor o abastecimento de água aumentou. Felizmente, com base na funcionalidade de alerta, o KWC foi capaz de identificar rapidamente e reverter às mudanças químicas e de fluxo, em grande parte, minimizando o impacto sobre os nossos clientes.
Nenhum motivo claro para os ataque foi encontrado.
A equipe RISK da Verizon descobriu evidências de que os hacktivistas tinham manipulado válvulas que controlam o fluxo de produtos químicos duas vezes – embora, felizmente não tenha ocorrido nenhum efeito grave [ênfase adicionada]. Parece que os ativistas não tinham tanto conhecimento dos sistemas SCADA ou a intenção de fazer mal algum.
O mesmo truque também resultou na exposição de informações pessoais de 2,5 milhões de clientes do serviço público. Não há nenhuma evidência de que isso foi monetizado ou utilizado para cometer fraudes.
No entanto, todo o incidente destaca os pontos fracos na segurança dos sistemas de infraestruturas críticas, que muitas vezes dependem irremediavelmente de sistemas de configurações envelhecidos e inseguros.
Nenhum comentário:
Postar um comentário