Stuxnet tārps ir neiznīdējams?

[samurajs]

[imgl]https://notepad.lv/userpix/28_29_window_1.jpg[/imgl]Notepad jau nesen publicēja PR par slaveno tārpu Worm.Win32.Stuxnet (1), kas īpaši izstrādāts rūpnieciskajai spiegošanai, spēj pārprogrammēt Siemens PLC loģiskos kontrollerus, un ir jau šo to pastrādājis – uzbrucis rūpnieciskajām iekārtām Vācijā (2), kodolreaktoram Irānā (3) un vēl šur tur. Atbilstoši PR pietika nopirkt Kaspersky antivīrusu, un tārps tiekot samalts konservos.

Bet, kā ziņo Symantec (4), nemaz tik vienkārši tas nav – Stuxnet’am piemīt tāds niķis pēc kāda laiciņa atdzimt kā Feniksam no pelniem. Protams, uz mājas lietotāja PC tas varbūt ka nenotiks, tādi šim tārpam neinteresē. Stuxnet iefiltrējas tur, kur lieto inženierprojektēšanas programmatūru “SIMATIC STEP 7” (5), nomaskējas par .dll failu šās programmas sastāvā, un vēl daļēji nošifrē sevi.

[imgr]https://notepad.lv/userpix/28_manneganstuxnetwormcnn640x360_1.jpg[/imgr]Kā izriet no Kaspersky bloga (6) – pat tur valda bezmaz panika, tārps nosaukts par “krakerinženierijas domas šedevru”, jo prot izmantot 4 ievainojamības vienlaikus.

Starp citu, atslēgta autorun funkcija pret inficēšanos ar Stuxnet nepalīdzēs – autorun.inf tiek modificēts tā, ka Windows to uztver kā .exe failu, kas liek piespiedu kārtā izpildīt autostartu…

(1) https://notepad.lv/7782/uzbrukumi-caur-internetu—bistamais-internets/

(2) https://winfuture.de/news,58197.html

(3) https://winfuture.de/news,58352.html

(4) https://www.symantec.com/connect/blogs/stuxnet-infection-step-7-projects

(5) https://www.automation.siemens.com/mcms/simatic-controller-software/en/step7/pages/default.aspx

(6) https://e-kaspersky.livejournal.com/24639.html

[bladez]

Nekas nav neiznīdējams. PLC kontrolierus var viegli pārrakstīt. Parasti nopietnās PLC shēmās, programmas glabā bekapos. Un interesanti, kā rūpnīcas vispār šo tārpu noķer? Darbinieki atbild uz aizdomīgiem e-pastiem?

[Crow]

Ir vēl viens neiznīdējams tārps, kas ir par šo bīstamāks un ir totāls šedevrs – stulbi cilvēki.

Lūk arī visa problēma.

[Gakh]

@bladez, rakstā tač teikts ka tas izmanto 4 0day exploitus, kā arī modificētu autorun failu.

[bladez]

Gakh wrote:

@bladez, rakstā tač teikts ka tas izmanto 4 0day exploitus, kā arī modificētu autorun failu.

Jā, bet jautājums paliek, kā var šo tārpu noķert?

Nav jau tā, ka pie tā datora, kurš vada PLC tu sēdēsi arī netā un brauzosi vai skatīsies e-pastu. Š ie datori 99% gadījomos ir dedikēti tieši PLC un nekam citam.

[Gakh]

Ja ir kādreiz laiks un gribēšana, paprovē uzinstalēt WinXP SP1 uz kāda testa PC, un uzreiz pēctam piekonektēt internetu, nepaies ne pāris min. kad būsi ticis jau kādā botnetā. Ar to gribēju pateikt ka systēmai nav obligāti jābūt kautkam atvērtam, u.tt lai noķertu drazu, pietiek ar to ka tā ir vulnerable un pieslēgta pie interneta.

[dgeset]

ESETs ir publicējis analītisku atskaiti, kas sniedz atbildes uz daudziem jautājumiem par Stuxnet. Iespējams, kādam būs interesanti iepazīties ar šo materiālu.

[Stat1CX]

Gakh wrote:

paprovē uzinstalēt WinXP SP1 uz kāda testa PC, un uzreiz pēctam piekonektēt internetu, nepaies ne pāris min. kad būsi ticis jau kādā botnetā.

Š o var elementāri novērst ar softwarisko vai hardware firewall.

[Autors]

Ieraksti