Forescout detectó miles de controladores lógicos programables de Rockwell Automation expuestos a internet, afectando a servicios de agua en EE. UU. Los atacantes aprovecharon la falta de seguridad y el acceso público para cambiar contraseñas e IP, provocando la pérdida de control operativo. El FBI y la EPA recomiendan desconectar estos dispositivos de la red pública y utilizar conexiones privadas como VPN.







Forescout encontró 22 controladores lógicos programables (PLC) de Rockwell Automation expuestos a internet en ciudades afectadas por ciberataques recientes a servicios de agua en EE. UU.
Diecinueve de ellos utilizaban la misma red de operador móvil.

Su escaneo del 3 de agosto contabilizó 4.407 controladores Rockwell expuestos en todo el mundo, incluidos 2.844 en los Estados Unidos, aunque Forescout no pudo confirmar si alguno había sido comprometido. Esta cifra cuenta los controladores expuestos, no las instalaciones de agua o las víctimas confirmadas.

Forescout afirmó que los efectos descritos públicamente podrían lograrse sin explotar una vulnerabilidad: los atacantes cambiaron las direcciones IP y establecieron contraseñas en controladores que ya eran accesibles, provocando que los operadores perdieran la visibilidad y, en algunos casos, el control de los equipos conectados.

Ni las alertas gubernamentales ni el análisis de Forescout explican cómo los atacantes encontraron, seleccionaron o accedieron inicialmente a sus objetivos.

Servicios de agua afectados

Las instalaciones de agua y aguas residuales en al menos siete estados han reportado incidentes desde el 27 de julio, según indicaron el FBI y la EPA en un anuncio de servicio público el 30 de julio aquí. No se ha atribuido la campaña a ninguna agencia.

Cualquiera que sea el recuento final, puedes actuar ahora retirando los controladores de la internet pública.

Exponer EtherNet/IP en el puerto 44818 crea una ruta no autenticada que, dependiendo de la configuración del dispositivo, permite a un atacante identificar un controlador o escribir configuraciones en él, señaló Forescout aquí.



Forescout descubrió que más del 70% de los controladores expuestos en EE. UU. se encuentran en grandes redes de telefonía móvil. El FBI y la EPA recomiendan autenticación fuerte, actualizaciones y registro de actividad para los módems celulares, con el acceso remoto aislado a través de un APN privado, VPN o arquitectura similar.

Una captura de Censys del 30 de julio aquí encontró 4.148 hosts EtherNet/IP de Rockwell/Allen-Bradley expuestos, donde Verizon Business, AT&T Mobility y T-Mobile USA representaban el 59%.

Detalles técnicos y vulnerabilidades

Los dispositivos MicroLogix 1400 constituyeron el 50% de los resultados de Forescout y los MicroLogix 1100 el 8%. Forescout indicó que 19 de los 22 controladores en las ciudades afectadas ejecutaban un firmware susceptible al CVE-2017-16740 aquí (puntuación CVSS de Rockwell: 8.6).

El fallo es un desbordamiento de búfer de Modbus TCP que afecta a las series B y C de MicroLogix 1400 con firmware 21.002 y anteriores; Rockwell lo solucionó en la revisión 21.003. La explotación requiere que Modbus TCP esté habilitado. Las actualizaciones de firmware corrigen errores específicos, pero "no hacen aceptable la exposición pública directa de los PLC", escribieron los investigadores.

Rockwell descontinuó el MicroLogix 1100 el 30 de abril de 2022. El aviso SD1790 aquí explica a los operadores bloqueados por una contraseña establecida por un atacante cómo restablecer un MicroLogix 1400 o 1100 a los valores predeterminados de fábrica y volver a descargar un archivo de proyecto conocido y seguro.

Esa ruta de recuperación requiere una copia offline actualizada de la lógica del controlador. El FBI señaló que al menos una víctima encontró archivos de proyecto de PLC modificados tras detectar discrepancias en la lógica de escalera en varios sitios. También advirtió que configuraciones de red similares de terceros podrían permitir que los atacantes repitan compromisos exitosos en clientes que compartan configuraciones vulnerables.

Fuente:
THN