Industrias objetivo del malware COSMICENERGY
Se ha descubierto una cepa de software malicioso descubierta recientemente, diseñada específicamente para infiltrarse e interrumpir sistemas críticos dentro de entornos industriales. Conocido como COSMICENERGY por Mandiant, una firma de inteligencia de amenazas propiedad de Google, este malware fue detectado en la utilidad pública de escaneo de malware VirusTotal en diciembre de 2021, subido por una persona en Rusia. Actualmente, no hay evidencia de su despliegue en la naturaleza.
El objetivo principal de COSMICENERGY es causar perturbaciones en la energía eléctrica apuntando a dispositivos IEC-104, como unidades terminales remotas (RTU), comúnmente utilizadas en operaciones de transmisión y distribución eléctrica en Europa, Medio Oriente y Asia. Este malware se une a una familia de software malicioso especializado, incluidos Stuxnet, Havex, Triton, IRONGATE, BlackEnergy2, Industroyer y PIPEDREAM, todos capaces de sabotear sistemas críticos y crear un caos generalizado.
Mandiant sugiere que existen posibles conexiones que indican que COSMICENERGY podría haber sido desarrollado como una herramienta para red teaming por la empresa rusa de telecomunicaciones Rostelecom-Solar. El propósito sería simular cortes de energía y evaluar los procedimientos de respuesta de emergencia durante los ejercicios realizados en octubre de 2021. Esto plantea la posibilidad de que el malware se haya creado para replicar escenarios de ataque realistas contra los activos de la red de energía para pruebas de defensa o que su código haya sido reutilizado por otro. parte asociada con actividades de rango cibernético.
Características y capacidades de COSMICENERGY
En términos de características y capacidades, COSMICENERGY exhibe similitudes con Industroyer, que se ha atribuido al grupo Sandworm respaldado por el Kremlin. El malware explota un protocolo de comunicación industrial conocido como IEC-104 para enviar comandos a las RTU. A través de este acceso, un atacante obtiene la capacidad de enviar comandos remotos que afectan la actuación de los interruptores de la línea eléctrica y los interruptores automáticos, lo que provoca interrupciones en el suministro eléctrico. COSMICENERGY emplea dos componentes, PIEHOP y LIGHTWORK, escritos en Python y C++, respectivamente, para transmitir los comandos IEC-104 a los equipos industriales conectados.
Un aspecto notable de este malware del sistema de control industrial (ICS) es su capacidad limitada de detección e intrusión. Esto significa que depende del operador para realizar un reconocimiento interno de la red para identificar las direcciones IP de los dispositivos IEC-104 a los que apuntar. Para llevar a cabo un ataque, un actor de amenazas necesitaría infectar una computadora dentro de la red, ubicar un Microsoft SQL Server con acceso a las RTU y obtener las credenciales necesarias. Posteriormente, se ejecuta PIEHOP en la máquina comprometida para subir LIGHTWORK al servidor. LIGHTWORK luego inicia comandos remotos perturbadores para alterar el estado de las unidades (ya sea ENCENDIDO o APAGADO) a través de TCP. El ejecutable se elimina rápidamente después de que se emiten las instrucciones.
