قراصنة روس يقطعون الحرارة عن 600 مبنى سكني في أوكرانيا

قامت شركة Dragos للأمن السيبراني بوضع علامة على برامج ضارة يمكنها مهاجمة أنظمة التحكم الصناعية (ICS)، وخداعها للقيام بسلوك ضار مثل إطفاء الحرارة والماء الساخن في منتصف الشتاء.

 تشير تقارير TechCrunch إلى أن هذا هو بالضبط ما فعلته البرمجيات الخبيثة، التي يطلق عليها اسم FrostyGoop، في شهر يناير في لفيف بأوكرانيا، عندما فقد السكان في أكثر من 600 مبنى سكني الحرارة لمدة يومين وسط درجات حرارة متجمدة.

يقول Dragos إن FrostyGoop هو البرنامج الخبيث التاسع المعروف المصمم لاستهداف وحدات التحكم الصناعية. كما أنها أول شركة تضع أنظارها على Modbus على وجه التحديد، وهو بروتوكول اتصالات منتشر على نطاق واسع تم اختراعه في عام 1979. وكثيرًا ما يستخدم Modbus في البيئات الصناعية مثل تلك الموجودة في أوكرانيا والتي هاجمتها FrostyGoop في يناير.

قام مركز حالة الأمن السيبراني في أوكرانيا (CSSC)، وهو الوكالة الحكومية في البلاد المكلفة بالسلامة الرقمية، بمشاركة المعلومات حول الهجوم مع Dragos بعد اكتشاف البرامج الضارة في أبريل من هذا العام، بعد أشهر من الهجوم. وتتفاعل التعليمات البرمجية الضارة، المكتوبة بلغة Golang (لغة البرمجة Go التي صممتها Google)، بشكل مباشر مع أنظمة التحكم الصناعية عبر منفذ إنترنت مفتوح (502).

من المحتمل أن المهاجمين تمكنوا من الوصول إلى شبكة لفيف الصناعية في أبريل 2023. ويقول دراغوس إنهم فعلوا ذلك من خلال "استغلال ثغرة أمنية غير محددة في جهاز توجيه Mikrotik المواجه للخارج". ثم قاموا بتثبيت أداة الوصول عن بعد التي ألغت الحاجة إلى تثبيت البرامج الضارة محليًا، مما ساعدها على تجنب اكتشافها.

قام المهاجمون بخفض مستوى البرامج الثابتة لوحدة التحكم إلى إصدار يفتقر إلى إمكانات المراقبة، مما يساعد على تغطية مساراتهم. وبدلاً من محاولة تدمير الأنظمة بالكامل، دفع المتسللون وحدات التحكم إلى الإبلاغ عن قياسات غير دقيقة، مما أدى إلى فقدان الحرارة وسط حالة تجميد عميق.

يتبع دراجوس سياسة حيادية طويلة الأمد في الهجمات الإلكترونية، ويفضل التركيز على التعليم دون إلقاء اللوم. ومع ذلك، فقد لاحظت أن الخصوم فتحوا اتصالات آمنة (باستخدام بروتوكول نفق الطبقة الثانية) لعناوين IP الموجودة في موسكو.

قال مارك "ماجبي" جراهام، الباحث في دراجوس، لـ TechCrunch: "أعتقد أنه جهد نفسي إلى حد كبير هنا، تم تسهيله من خلال الوسائل السيبرانية عندما لم تكن الحركية هنا هي الخيار الأفضل". وتقع لفيف في الجزء الغربي من أوكرانيا، وهو ما يصعب على روسيا ضربه مقارنة بالمدن الشرقية.

ويحذر دراجوس من أنه نظرًا لمدى انتشار بروتوكول Modbus في البيئات الصناعية، فمن الممكن استخدام FrostyGoop لتعطيل أنظمة مماثلة في جميع أنحاء العالم. توصي شركة الأمن بالمراقبة المستمرة، مع ملاحظة أن FrostyGoop تهرب من اكتشاف الفيروسات، مما يؤكد الحاجة إلى مراقبة الشبكة للإبلاغ عن التهديدات المستقبلية قبل حدوثها. على وجه التحديد، ينصح دراغوس مشغلي ICS باستخدام SANS 5 Critical Controls للأمن السيبراني العالمي المستوى OT، وهو إطار أمني للبيئات التشغيلية.

المصدر: بوابة الوفد