Fuxnet ICS-malware ingezet door Oekraïense veiligheidsdiensten tegen Rusland

Claroty, een cyberbeveiligingsbedrijf gespecialiseerd in industriële en zakelijke IoT, heeft Fuxnet geanalyseerd, een type malware dat door Oekraïense hackers wordt gebruikt bij een aanval op een Russisch infrastructuurbedrijf. Deze aanval, toegeschreven aan een hackergroep genaamd Blackjack, verbonden aan de Oekraïense veiligheidsdiensten, was gericht tegen verschillende Russische organisaties, waaronder ISP's, nutsbedrijven, datacentra en het leger, waarbij aanzienlijke schade werd aangericht en gevoelige gegevens werden gestolen.

Blackjack maakte een vermeende aanval bekend op Moscollector, een in Moskou gevestigd bedrijf dat ondergrondse infrastructuur zoals water- en communicatiesystemen beheert. Ze beweerden de Russische industriële monitoringinfrastructuur te hebben uitgeschakeld, waaronder het Network Operation Center (NOC) dat verantwoordelijk is voor het toezicht op onder meer gas-, water- en brandalarmsystemen.

De hackers beweerden dat ze databases en servers hadden gewist en duizenden sensoren hadden uitgeschakeld, waaronder die op luchthavens en gaspijpleidingen, met behulp van malware genaamd Fuxnet, beschreven als een krachtige versie van Stuxnet.

Malware gebruikt tegen sensorarrays

Hoewel Claroty de beweringen van de hackers niet kon verifiëren, analyseerde hij de Fuxnet-malware op basis van door Blackjack verstrekte informatie. Ze merkten op dat de fysieke sensoren zelf waarschijnlijk onaangetast waren, maar dat de malware zich richtte op ongeveer 500 sensorgateways, cruciaal voor het verzenden van gegevens naar het monitoringsysteem van Moscollector. Het repareren van deze gateways, verspreid over Moskou en zijn voorsteden, kan een uitdaging zijn, waarbij vervanging of individuele firmware-updates nodig zijn.

Uit de analyse van Claroty bleek dat Fuxnet waarschijnlijk op afstand werd ingezet, wat grote schade aanrichtte door het verwijderen van bestanden, het afsluiten van diensten voor externe toegang en het verstoren van de communicatie met andere apparaten. De malware probeerde ook geheugenchips fysiek te vernietigen en sensoren te overbelasten door seriële kanalen te overspoelen met willekeurige gegevens.