Share the post "Investigadores de Seguridad que muestran nuevas formas de hackear las plantas de petróleo, gas y agua"
Investigadores de Seguridad Cibernética próxima semana va a demostrar cómo los hackers potencialmente puede causar estragos en la infraestructura crítica de EE.UU., incluso causando explosiones alterando las lecturas de sensores inalámbricos utilizados por la industria de petróleo y gas.
Las presentaciones en la conferencia Black Hat comienzo en Las Vegas el miércoles mostrarán cómo las principales industrias siguen siendo vulnerables a los ataques cibernéticos, en parte porque las empresas son reacias a sustituir equipos costosos o instalar nuevas garantías se hayan pedido hacerlo por los reguladores u ofrecido incentivos económicos, dicen los expertos.
“Tenemos este cáncer que está creciendo dentro de nuestra infraestructura crítica. Cuando vamos a pasar por el quirófano en lugar de dejar que esto empeorara?” dijo Patrick C. Miller, fundador de la organización no lucrativa del Consorcio de Seguridad Sector Energía. “Tenemos que reestructurar algunas regulaciones e incentivos.”
La nueva investigación sobre sensores inalámbricos encontró fallas en la forma en que manejan el cifrado, Lucas Apa y Carlos Mario Penagos de seguridad de la firma consultora IOActive Inc dijo a Reuters.
Ellos dijeron que no podían ponerse en contacto con algunos de los sensores con las transmisiones de radio desde una distancia de 40 millas (64 km) de distancia, y alterar la presión, el volumen y otras lecturas. Si los sistemas de control en general actúan en esas lecturas y sin un mecanismo de seguridad, según los investigadores, podrían desactivar permanentemente una tubería o una planta.
Los sensores suelen costar $ 1.000 o $ 2.000 y se despliegan en los cientos o miles en un procesador de un solo aceite, gas o agua. Los investigadores dijeron que los defectos se encuentran en los dispositivos suministrados por tres de los proveedores más grandes del campo, pero se negó a identificarlos.
Carlos Mario Penagos Dice que mayoría de las refinerías que tienen la capacidad para controlar los niveles de gas o la temperatura probable que los dispositivos vulnerables en su lugar. En algunos casos, los sensores tienen un defecto de diseño, mientras que en otros casos los clientes que instalan insegura.
De cualquier manera, “todo el proceso industrial puede ser desactivado o modificarse mediante la interrupción de los sensores físicos”, dijo Apa.
Desde la revelación de 2010 del virus Stuxnet US-desarrollado que atacó una instalación nuclear iraní, los países se han intensificado los esfuerzos para defender su propia infraestructura, mientras que el desarrollo de la capacidad de atacar a estos equipos en otros lugares.
En los Estados Unidos, un decreto de febrero por el presidente Barack Obama ordenó al Departamento de Seguridad Nacional para trabajar con la industria para desarrollar normas de seguridad, pero su adopción sería voluntaria. La Casa Blanca está evaluando posibles incentivos, mientras que el Congreso estudia una legislación que sea más contundente.
Por ahora, DHS emite avisos de ataques y avisos sobre cómo solucionar errores de preocupación adicional. Los investigadores IOActive dijeron que habían estado trabajando con el DHS y los fabricantes de equipos para desarrollar soluciones.
Un portavoz del DHS no quiso hacer comentarios sobre la investigación o el estado de la seguridad en la industria de la energía.
Sistemas de control industrial brazo ciberseguridad del departamento respondió a más de 200 incidencias en las infraestructuras críticas en la primera mitad del año fiscal en curso, más que en todo el año anterior. Más de la mitad de los incidentes más recientes fueron en el sector de la energía, de acuerdo con un reciente boletín de DHS.
Apa y Penagos dijeron que habían pasado meses en su proyecto y que tomaría una buena cantidad de experiencia especializada a alguien para montar un ataque destructivo. Pero también puede tomar un largo tiempo para que los parches que se instalarán físicamente, dijeron.
Shawn Moyer, un investigador de los Laboratorios Accuvant que ha encontrado problemas similares con las comunicaciones por radio en los controles industriales, dijo Apa y Penagos ‘trabajo mostró que las empresas todavía están aprendiendo las mejores prácticas para la seguridad. También señaló que la interceptación y alteración de los datos constituyen sólo una parte de un ataque cibernético exitoso.
“Tienes que saber lo suficiente sobre el objetivo de conocer a buscarlo”, dijo Moyer.
Otra empresa de seguridad cibernética planea demostrar en Black Hat cómo los hackers pueden explotar remotamente un tanque de agua con una combinación de vulnerabilidades conocidas.
Eric Forner y Brian Meixell de la firma de consultoría Cimation dijeron que iban a simular un ataque que causa un tanque que se llena en exceso, causando un derrame o explosión.
Dijeron que un esfuerzo modesto imitador por hackers maliciosos podría causar una destrucción al azar, mientras que apunta una instalación específica tomaría más esfuerzo. Por ejemplo, los hackers pueden utilizar herramientas como Shodan, un buscador especializado que permite a cualquier persona buscar determinados tipos de dispositivos que están conectados a Internet, junto con los nombres de sus propietarios y sus ubicaciones físicas.
“Para nosotros fue una noche – nos llevó 16 horas para dos personas”, dijo Forner. “Hay problemas sistémicos en la industria con la aplicación del protocolo malo.”
Share the post "Investigadores de Seguridad que muestran nuevas formas de hackear las plantas de petróleo, gas y agua"
Acerca de Mi Dylan Irzi
Colombiano, WebMaster, Independent Security Researcher , Apasionado por la Seguridad Informatica, #WhiteHat. Programador. Co-Fundador y Dueño de WebSecurityDev.com
One thought on “Investigadores de Seguridad que muestran nuevas formas de hackear las plantas de petróleo, gas y agua”