Ele geçirilen soğutma kontrolcüleri spam ve proxy trafiği için kullanılıyor: SecurityScorecard Copeland XWEB cihazlarını inceledi
SecurityScorecard, internete açık Copeland XWEB soğutma kontrolcülerinin şüpheli bir spam botnet'inde ve proxy çıkış noktası olarak kullanıldığını bildirdi. Araştırmacılar bu etkinliği Ekim'deki Fransız süpermarket saldırılarına bağlamadı.
Market ve soğuk depolarda kullanılan soğutma kontrolcülerine yönelik saldırılar yeni bir boyut kazandı. Help Net Security'nin 9 Kasım'da aktardığı SecurityScorecard araştırmasına göre internete açık Copeland XWEB kontrolcülerinin bir kısmı, şüpheli bir spam botnet'inde ve başkalarının trafiğini taşıyan proxy çıkış noktası olarak kullanılıyor.
Bu, FBI ve CISA'nın geçen hafta yayımladığı soğutma sistemlerine yönelik saldırı uyarısının ardından gelen ilk somut kötüye kullanım bulgularından biri. O uyarıda saldırganların sıcaklık ayarlarını değiştirip ekipmanı sürekli ısıtma veya defrost döngüsüne soktuğu anlatılıyordu; yeni araştırma ise aynı cihaz sınıfının sessizce başka işler için de kullanılabildiğini gösteriyor.
Araştırmacılar ne buldu?
SecurityScorecard şüpheli davranış gösteren dokuz cihazı incelemiş; bunların üçü kesin olarak XWEB kontrolcüsü çıkmış. Trinidad ve Tobago'daki bir kontrolcü, 17 saatte 10.643 farklı sunucuyla iletişim kurarak bir residential proxy çıkışı gibi davranmış. Araştırmacılar ortak bir komuta-kontrol (C2) altyapısına dair yalnızca zayıf işaretler bulduklarını ve bu etkinliği Ekim'de Fransa'da süpermarketleri ve kan depolarını etkileyen olaylarla ilişkilendirmediklerini belirtiyor.
Help Net Security'nin aktardığı Censys verilerine göre 9 Ekim'de internete açık 6.695 soğutma kontrolcüsü görülürken 5 Kasım itibarıyla bu sayı 3.124'e inmiş. Yani uyarıların ardından erişilebilir cihaz sayısı yarıya yakın azalmış, ama binlercesi hâlâ açık.
Neden önemli?
Spam ve proxy kötüye kullanımı, cihazın soğutma işlevini bozmadığı için çoğu zaman fark edilmez. İşletmenin IP adresi kara listelere girebilir, başkalarının saldırı trafiği o adres üzerinden geçebilir. Aynı erişim, saldırgan isterse sıcaklık ayarlarına da uzanabilir.
Claroty Team82 daha önce XWEB Pro kontrolcülerinde 23 açık raporlamış, Copeland bunları 1.13 firmware sürümünde gidermişti.
Ne yapılmalı?
- Envanterinizdeki soğutma kontrolcülerinin internetten doğrudan erişilebilir olup olmadığını kontrol edin; açık olanları kapatın, zorunlu uzaktan erişimi VPN arkasına alın.
- XWEB Pro kullanıyorsanız firmware sürümünü cihaz arayüzünden kontrol edin ve Copeland'in güncelleme sayfasındaki en son sürüme geçişi change management sürecine alın.
- Kontrolcülerin bulunduğu ağdan dışarı giden SMTP (25/587) ve olağandışı yüksek sayıda farklı hedefe giden bağlantıları firewall loglarında arayın.
- Varsayılan parolaları değiştirin; servis firmalarının uzaktan erişim hesaplarını gözden geçirin.
- OT cihazlarını kurumsal ağdan ayırın ve kontrolcülerin dışarı çıkışını yalnızca gerekli adreslerle sınırlayın.
