2019’un ilk altı ayında Kaspersky çözümleri, enerji sektöründe kullanılan endüstriyel kontrol sistemi (ICS) bilgisayarlarının yaklaşık yarısında alarm verdi. En sık karşılaşılan siber tehditler; solucanlar, casusluk yazılımları ve kripto para madencileri oldu. Bu üçü birlikte saldırıların %14’ünü oluşturdu. Kaspersky Lab ICS CERT’in 2019’in 1. yarısına ait endüstriyel tehdit alanı raporunda elde edilen önemli bulgulardan biri bu oldu.
Endüstriyel siber vakalar, üretimin aksamasına ve finansal zarara yol açmaları nedeniyle en tehlikeli vakalar arasında yer alıyor. Bu saldırıların üstesinden gelmek de bir hayli zor. Bu durum özellikle enerji gibi, insanların yaşamına doğrudan etki eden kritik sektörlerde gerçekleştiğinde büyük önem kazanıyor. Kaspersky güvenlik teknolojilerinin otomatik olarak işlediği 2019’un ilk yarısına ait istatistikler, enerji sektöründe yöneticilik yapanların güvenliği asla elden bırakmaması gerektiğini ortaya koydu. Gözlem yapılan süre boyunca Kaspersky ürünleri, enerji sektöründe kullanılan ICS bilgisayarlarının %41,6’sında alarm verdi. ICS için tasarlanmayan çok sayıda klasik zararlı yazılım örneği engellendi.
Engellenen zararlı programlar arasında en büyük tehlikeyi, kripto para madencileri (%2,9), solucanlar (%7,1) ve çeşitli çok yönlü casusluk yazılımları (%3,7) oluşturdu. Bu tür zararlı yazılımların bulaşması, ICS ve endüstriyel ağa bağlı diğer sistemlerin bütünlüğünü ve kullanımını olumsuz etkileyebiliyor. Tespit edilen tehditler arasından bazıları özellikle dikkat çekiciydi.
Bunlardan biri, kimlik doğrulama verilerini, ekran görüntülerini, web kamerasından ve klavyeden alınan verileri çalmak için tasarlanan özel casus yazılımı AgentTesla oldu. Analiz edilen tüm vakalarda, saldırganların birçok şirkette ele geçirdikleri e-posta kutularından veri gönderdiği görüldü. Zararlı yazılım tehdidinin yanı sıra Kaspersky ürünleri, Meterpreter arka kapısından yararlanılan vakaları da belirleyip engelledi. Bu arka kapı, enerji sistemlerinin endüstriyel ağlarındaki bilgisayarları uzaktan kontrol etmek için kullanılıyor. Bu arka kapı kullanılarak düzenlenen saldırılar belirli bir hedefe yönelik ve gizli bir şekilde düzenleniyor. Saldırılar genellikle manuel olarak yürütülüyor. Saldırganların yazılım bulaşan ICS bilgisayarlarını uzaktan gizlice kontrol edebilmesi, endüstriyel sistemler için büyük bir tehdit oluşturuyor. Şirketin çözümleri ayrıca Syswin adlı yeni bir silici solucanı da tespit edip engelledi. Python ile yazılan bu solucan Windows’un yürütülebilir dosya biçiminde geliyor. Kendi kendine çoğalıp verileri silebilen bu tehdit, ICS bilgisayarlarına büyük etki yapabiliyor.
Zararlı nesneler ve vakalarla karşı karşıya kalan tek sektör enerji sektörü değil. Kaspersky uzmanlarının analiz ettiği diğer sektörlerin kendilerini rahat hissetmeleri için ortada bir neden yok. Otomotiv üretimi (%39,3) ve bina otomasyon sistemleri (%37,8), zararlı nesnelerin hedef aldığı ICS bilgisayarı oranı açısından ikinci ve üçüncü sırada yer alıyor.
Raporda yer alan diğer bulgular arasında şunlar yer alıyor:
- ICS bilgisayarları genellikle, kurumsal ortamlardaki tipik güvenlik alanının tamamen içinde yer almıyor. Bu ortamlar birçok tehditten büyük ölçüde korunuyor. Benzer bir şekilde, ev kullanıcıları da kendilerine özel önlemler ve araçlarla koruma altına alınıyor. Diğer bir deyişle, kurumsal alan ile ICS’nin güvenliği birbiriyle doğrudan ilişkili değil.
- ICS bölümünde görülen zararlı faaliyetler genellikle ülkede “arka planda” gerçekleşen zararlı faaliyetlerle bağlantılı.
- ICS bölümünün güvenliğine önem verilen ülkelerde ICS bilgisayarlarının daha düşük seviyede saldırıya uğramasının sebebi, arka planda az sayıda zararlı faaliyet olmasından çok koruma önlemleri ve araçlarının kullanılması oluyor.
- Kendi kendine çoğalan zararlı programlar bazı ülkelerde son derece etkin. Analiz edilen vakalardaki solucanların (zararlı solucan sınıfı nesneler), çıkarılabilir medya cihazlarına (USB flash sürücüler, çıkarılabilir sabit diskler, mobil telefonlar vb.) bulaşacak şekilde geliştirildikleri görüldü. ICS bilgisayarlarının en sık karşı karşıya kaldığı senaryonun çıkarılabilir medya cihazları ile solucan bulaşması olduğu anlaşıldı.
Kaspersky Güvenlik Araştırmacısı Kirill Kruglov, “Toplanan istatistikler ve endüstriyel siber tehditler üzerine yapılan analizler, mevcut eğilimleri değerlendirmek ve ne tür tehlikelere karşı hazırlıklı olmamız gerektiğine dair tahminler yapmak için çok değerli. Bu rapor, güvenlik uzmanlarının özellikle veri çalmayı, kritik önem taşıyan alanlarda casusluk yapmayı, sisteme sızmayı ve verileri yok etmeyi amaçlayan zararlı yazılımlara karşı dikkatli olması gerektiğini gösterdi. Bu tür vakalar endüstri için çok büyük sorunlar doğurabilir.” dedi.
Kaspersky ICS CERT şu teknik önlemlerin alınmasını öneriyor:
- Kurumun endüstriyel ağındaki sistemlerin uygulama yazılımlarını, işletim sistemlerini ve güvenlik çözümlerini düzenli olarak güncelleyin.
- Uç router’larda ve kurumun OT ağlarında kullanılan portların ve protokollerin ağ trafiğini kısıtlayın.
- Kurumun endüstriyel ağında ve çevresindeki ICS bileşenlerin erişim kontrolünü denetleyin.
- OT/ICS ağınıza erişimi bulunan çalışanlar, iş ortakları ve tedarikçilere düzenli olarak özel eğitim ve destek verin.
- OT ve endüstriyel altyapıyı siber saldırılara karşı korumak için ICS sunucularına, iş istasyonlarına ve HMI’lara özel, Kaspersky Industrial CyberSecurity gibi bir uç nokta güvenlik çözümü kurun. Hedefli saldırılardan daha iyi korunmak için ağ trafik takibi, analiz ve tespit çözümleri kullanın.
Raporun tamamını Kaspersky ICS CERT sayfasından okuyabilirsiniz.
