Attacco alla compagnia elettrica ucraina del 2015
Il 23 Dicembre 2015, un “malfunzionamento temporaneo della rete elettrica” in tre province dell’Ucraina ha generato un’interruzione di corrente della durata di circa 3 ore con un impatto su circa 225.000 utenti.
A seguito di questo evento è stata avviata un’indagine che ha evidenziato come diversi sistemi di controllo elettrici delle provincie ucraine interessate siano stati compromessi da un attacco di tipo informatico.
Quest’attacco rappresenta il primo cyber attacco pubblicamente riconosciuto e documentato sui sistemi di controllo di una utility elettrica.
Il cyber attacco ucraino era stato inizialmente indirizzato verso 6 oblenergos (termine utilizzato in Ucraina per identificare le compagnie di distribuzione elettrica) ma solo tre di queste hanno effettivamente registrato una perdita di potenza elettrica. Le altre 3 compagnie non hanno registrato un impatto significativo.
A seguire una sintesi delle varie fasi di attacco:
Fig 1: fonte E-Isac, Analysis of the Cyber Attack on the Ukrainian Power Grid, 2016
Fase 1: Spear Phishing
Nel Marzo 2015, attori malevoli hanno utilizzato lo spear phishing per compromettere i computer che avrebbero permesso loro l’accesso alle reti target delle oblenergos ucraine individuate.
Gli attaccanti hanno preso di mira alcuni impiegati e operatori delle compagnie inviando e-mail che in apparenza sembravano corrispondenza ufficiale del Ministero dell’Energia Ucraino.
Queste e-mail contenevano in allegato un foglio di calcolo Microsoft Excel o un documento Microsoft Word.
Aprendo il documento ed abilitando le macro si permetteva l’installazione del trojan Black Energy 3 (BE3). Numerosi host sono stati compromessi in questo modo.
Fig 2: fonte https://securelist.com/blackenergy-apt-attacks-in-ukraine-employ-spearphishing-with-word-documents/73440/
Fig 3: fonte NSFOCUS Security Research Lab, 2016
Fase 2: Malware utilizzato per esplorare e spostarsi in rete
La ricognizione e l’enumerazione della rete compromessa è avvenuta nel corso di alcuni mesi antecedenti il giorno effettivo dell’attacco, sfruttando BE3 e altri strumenti che hanno facilitato il movimento degli attaccanti attraverso la rete dei computer.
BE3 ha compromesso attraverso lo spear phishing uno o più computer di ognuno dei sei oblenergos.
Nell’aprile 2015, gli attaccanti hanno installato una backdoor addizionale sulle macchine compromesse. Questo ulteriore malware ha facilitato l’accesso degli attaccanti ai computer compromessi.
Il Ministro dell’Energia ucraino ha dichiarato che gli attori malevoli hanno iniziato a raccogliere informazioni sulla rete energetica ucraina almeno 6 mesi prima dell’attacco.
Fase 3: Ottenimento delle credenziali
Il Microsoft Active Directory server è stato uno dei primi computer compromessi, probabilmente attraverso un brute force attack su password registrate.
Sembrerebbe che gli attori malevoli abbiamo intercettato le password attraverso un metodo non identificato. Sebbene BE3 abbia al suo interno un plug-in per il furto delle password, non sono state fornite evidenze riguardo al ritrovamento di quel particolare plug-in all’interno delle reti compromesse.
Fase 4: Creazione di un tunnel VPN
Con le credenziali di accesso appena ottenute, gli attori malevoli hanno creato un tunnel cifrato (VPN) per stabilire una presenza stabile sulle reti degli oblenergos.
Gli attori malevoli hanno sfruttato degli strumenti standard di accesso remoto per ottenere il controllo dei sistemi HMI connessi alla rete: Remote Desktop Protocl (RDP), Remote Administrator (Radmin) e Secure Shell (SSH).
Gli attaccanti hanno configurato una VPN utilizzando credenziali di accesso basate solo su username e password.
La rete degli oblenergos non richiedeva il two-factor authentication.
Fase 5: Ricognizione e Compromissione dei computer HMI
L’accesso a uno dei computer dell’oblenergo ha fornito le credenziali per l’accesso remoto agli applicativi HMI, che in un secondo momento hanno permesso agli attaccanti di interagire da remoto con il sistema di controllo.
Prima dell’attacco gli attori malevoli hanno eseguito una raccolta di informazioni e poi compromesso almeno 17 local dispatch center HMIs, che connettevano 50 sottostazioni.
Fase 6: Manipolazione degli interruttori automatici
L’attacco al primo oblenergo ha modificato le impostazioni di un primo interruttore automatico alle ore 3:30 pm.
L’attacco al successivo oblenergo è avvenuto un minuto dopo alle ore 3:31, seguito da un attacco al terzo oblenergo alle ore 4:00 pm circa.
Gli operatori hanno potuto osservare ma non bloccare gli attori malevoli mentre utilizzavano i loro computer e manipolavano l’HMI.
Alle 4:10 pm gli operatori hanno risposto al disservizio di un oblenergo disabilitando un HMI administrator account.
Gli attori malevoli hanno continuato a bloccare il sistema utilizzando un secondo HMI administrator account.
In seguito, gli operatori dell’utility hanno bloccato l’intero sistema SCADA ed infine la connessione VPN.
La durata totale del cyber attacco è stata di circa 60 minuti.
Alla fine, gli operatori hanno dovuto riavviare tutto il sistema SCADA in modalità off-line e manuale, unica possibilità per ripristinare il servizio di alimentazione elettrica.
Solo un oblenergo è stato in grado di disabilitare l’accesso da remoto, ma unicamente per il tempo necessario a salvare una sottostazione.
L’attacco ha disconnesso gli interruttori a distanza di pochi minuti uno dall’altro, suggerendo che attaccanti multipli abbiano operato in contemporanea durante l’attacco.
Non c’è evidenza di un attacco informatico automatizzato; i movimenti del cursore del mouse attraverso lo schermo dell’HMI erano quelli di un operatore che stava svolgendo un’azione.
Il cyberattacco era sincronizzato e coordinato, probabilmente a seguito di un’estensiva ricognizione sui network delle vittime.
Fase 7: Azioni di attacco successive
a) Denial of Service Telefonico
Gli attaccanti hanno contemporaneamente lanciato un attacco TDoS per interrompere e disturbare le operazioni di ripristino della rete all’interno del sistema.
I call center sono stati investiti da un una serie di chiamate automatiche provenienti da numeri esteri.
Uno degli oblenergo ha registrato quest’attività come un guasto tecnico all’interno del suo call center.
In seguito, l’oblenergo ha pubblicamente dichiarato che l’attacco TDoS ha compromesso le sue capacità di rispondere velocemente poiché non aveva consapevolezza della situazione in atto e non aveva potuto ricevere segnalazioni riguardo al disservizio che si stava verificando.
b) UPS Accesso remoto e spegnimento
Poco prima delle 15.30 gli attori malevoli hanno utilizzato l’interfaccia di gestione remota degli UPS per schedulare uno spegnimento degli UPS dei computer server dell’oblenergo nel pomeriggio.
In un’altra oblenergo l’UPS del centralino telefonico privato (PBX) è stato spento allo stesso modo.
Queste operazioni sono state eseguite probabilmente per interferire con le risposte all’incidente ed i tentativi di ripristino.
c) Aggiornamento con firmware compromesso
Gli attori malevoli hanno reso inattivi uno numero imprecisato di sottostazioni collegate alla rete attraverso un aggiornamento del firmware. I produttori non sono stati in grado di ripristinare gli apparati che avevano scaricato il firmware compromesso.
Fase 8: Esecuzione di KillDisk sui computer target
Tutti e 3 gli oblenergos hanno dichiarato che gli attori malevoli al termine del cyber attacco hanno cancellato numerosi Hard drive attraverso l’utilizzo del malware KillDisk.
KillDisk cancella file selezionati sui sistemi di destinazione e corrompe il record di avvio principale, rendendo il sistema inutilizzabile.
In almeno un caso la motherboard di una RTU, con Windows Embedded Compact (CE) utilizzata per gestire un HMI locale, è stata sovrascritta dal Malware KillDisk. Il produttore della RTU non è stato in grado di ripristinare o correggere l’errore.
Fig 4: fonte Ukraine Cyber-Induced Power Outage: Analysis and Practical Mitigation Strategies, Whitehead, Owens, Gammel, Smith, 2017
1.2 Criticità
Diverse criticità sono emerse a seguito dell’analisi dell’attacco.
In particolare, analizzando le varie fasi di attacco è possibile rilevare che:
Nella fase1 (Spear Phishing) il personale e gli operatori non avevano ricevuto una corretta formazione a livello di sicurezza aziendale. Non erano presenti sistemi di E-mail security controls che scannerizzano e rimuovono automaticamente gli allegati sospetti.
Nella fase 2, legata alla diffusione del malware BE3, è emersa l’assenza di un sistema antivirus aggiornato, di un sistema IDS e di host based firewall correttamente gestiti e configurati.
La fase 3 in cui, attraverso keylogger o brute force attack, sono state ottenute credenziali amministrative d’accesso con privilegi elevati evidenzia l’assenza di una politica di distribuzione agli utenti di credenziali con privilegi d’accesso minimi, password rotation, password complesse, IDS, Syslogs e Antivirus.
Nella fase 4 in cui il collegamento viene mantenuto attraverso la configurazione di connessioni VPN ad hoc, evidenzia l’assenza di corrette policy a livello firewall, di una policy di multifactor authentication e di un monitoraggio continuo sulle VPN aziendali.
Nella fase 5 emerge nuovamente l’assenza di utenze con privilegio d’accesso minimo nonché la configurazione di una corretta segmentazione di rete che avrebbe potuto limitare gli accessi ai sistemi HMI e SCADA.
La fase 6 (Attacco) in cui avviene l’accesso remoto agli interruttori ed ai sistemi di controllo evidenzia l’assenza di una politica di gestione degli incidenti che avrebbe permesso una veloce risposta da parte degli operatori ed un isolamento del problema. Evidenzia inoltre l’assenza di un canale d’emergenza di comunicazione dedicato e non pubblico.
Nella fase 8 legata alle azioni successive all’attacco viene rilevata l’assenza di una linea di comunicazione di backup, di un sistema di blocco delle chiamate sospette e di una corretta gestione dei propri asset.
Per quanto riguarda l’accesso agli UPS da remoto, nuovamente si evidenza l’assenza di una corretta segmentazione di rete e di strong authentication.
In relazione all’aggiornamento con firmware malevolo si evidenzia l’assenza di politiche di firmware validation (hashing signatures) e di backup hardware (hot and cold systems) nonché di procedure di recovery.
Sintesi dei possibili controlli di sicurezza:
| Fase | Minaccia | Controlli di sicurezza |
| 1. Accesso iniziale alla rete aziendale | Spear Phishing | Training delle risorse umaneApplicativi per il controllo e-mail (scansione e rimozione automatica di allegati sospetti) |
| 2. Posizionamento sulla rete aziendale | Malware (BE3) | AntivirusIDSHost based Firewall |
| 3. Privilege escalation | Credenziali compromesse: KeyloggerBrute force attack | Utenze con privilegi minimiPassword rotationAntivirusCredenziali complesseIDSSyslogs |
| 4. Mantenimento dell’accesso | VPN – Tunnel access | Policy firewall corretteTwo-factor authenticationControllo VPNMonitoraggio continuo |
| 5. Accesso al Sistema di Controllo | Accesso remoto HMI/SCADA | Segmentazione di reteUtenze con privilegi minimi |
| 6. Attacco | Accesso remoto al sistema di controllo e agli interruttori | Strong authenticationAccesso remoto cifratoIsolamento veloceCanale di comunicazione privato e dedicatoPiano per la gestione degli incidenti |
| 7. Azioni di attacco successive | ||
| Telephony Dos | Linee di backupBlocco chiamateConoscenza degli asset | |
| Accesso remoto agli UPS | Segmentazione di reteStrong authenticationDisconnessione accesso remoto | |
| Aggiornamento con firmware compromesso | Firmware validation (signatures e Hashing)Hardware di backup (hot and cold system)Procedure di ripristino | |
| 8. Distruzione degli Hard Drive | Malware KillDisk | Backup automatici dei datiAntivirus |
L’analisi del cyberattacco alla rete elettrica Ucraina ha dimostrato come un determinato attore può attaccare un sistema che non è basato su corretti principi di progettazione sfruttando, non una singola vulnerabilità, bensì un insieme di singoli errori di progettazione e di scarso controllo della rete e del sistema.
In risposta a questo tipo di minacce negli ultimi anni si è potuto assistere al crescente sviluppo e diffusione di strategie informatiche specificatamente applicabili ai sistemi di controllo industriale, e volte alla gestione e mitigazione del rischio cibernetico in ambito di infrastrutture elettriche critiche.